XCPEは、Android TVのセットトップボックスなどに出荷前から組み込まれていたバックドア「x.cpe」と、それを使ったボットネットの呼び名です。Googleの脅威分析チームは、130万台超がボットネットに組み込まれ、Android機器メーカーのVideostrong Technology社が意図的に開発・運用していたと「高い確信」をもって評価していると発表しました。解体には日本の警察庁も連携しています。この記事はGoogle・参加企業・警察庁などの公表資料だけを使い、2026年11月5日確認の内容で整理しました。
【結論】XCPEは出荷前のAndroid TVボックスなどに組み込まれていたバックドアで、Googleは130万台超のボットネットを企業や日本の警察庁と連携して解体したと発表しました。日本国内の感染台数や対象の製品名は公表されていません。
- Googleは、Videostrong Technology社が金銭目的で意図的に開発・運用していたと高い確信をもって評価し、同社との提携を解消
- 感染した機器は、第三者の通信を中継する「レジデンシャルプロキシ」や広告不正に使われていた。アプリを削除しても再起動で再インストールされる仕組み
- 利用者が自分で駆除する手順は公表されていない。Play プロテクト認定の確認や、「無料で動画を視聴できる」とうたう不審な機器を使わないことが公表資料に挙げられている
XCPEボットネット事件の早見表
| 知りたいこと | 公表資料に書かれていること |
|---|---|
| 何が起きたか | 出荷前から組み込まれたバックドア「x.cpe」で、130万台以上のセットトップボックスがボットネット化（Google） |
| 誰によるものとされるか | GoogleはVideostrong Technology社が金銭目的で意図的に開発・運用したと「高い確信」で評価 |
| いつ解体されたか | 英語版の投稿（2026年11月2日）に「先週」とある＝2026年10月最終週 |
| どんな機器か | 大半はAndroid TVのセットトップボックス。遠隔医療端末やカラオケ機器なども（Google） |
| 何に使われたか | レジデンシャルプロキシ、通信帯域の共有、広告不正、追加のマルウェアの読み込み |
| 日本との関係 | Googleは日本の警察庁と緊密に連携したと記載。国内の台数・製品名は未公表 |
| 利用者ができること | Play プロテクト認定の確認、不審な動画ストリーミング機器や帯域共有アプリを使わない など |
XCPEとは？Googleの発表でわかったこと
Googleは英語版のブログ「Shutting the Door on the XCPE Botnet」（2026年11月2日公開。ページ上の表示日は11月3日）と日本語版（11月4日）で発表しました。
Googleは「先週」業界のパートナーと連携してXCPEバックドアを解体し、バックドア経由で読み込まれていた犯罪事業者（アフィリエイト）のマルウェアが使うC2（指令用の）ドメインも停止しました。これらの事業者はXCPE以外の配布経路も持つため、少なくとも1,000万台の別の感染端末へのアクセスも遮断できると評価しています。
Videostrong Technology社についてGoogleが評価していること
Googleは、AndroidのOEM・ODM（他社ブランド製品の製造・設計を請け負う企業）であるVideostrong Technology社が、金銭目的で意図的に開発・運用したと「高い確信をもって評価」しています。同社はアクセス権を犯罪事業者に販売し、その事業者のモジュールを感染機器に読み込ませて収益を得ていた、という評価です。
Googleは、複数年にわたり多くの機種・ブランドに組み込まれていたことから、単独の内部不正や開発上の見落としではないと考えています。TrendAIは社名を出さず「深センに拠点を置くOEM/ODM」と書いています。Videostrong社の見解は、確認した資料には載っていません。
Googleが取った措置
- Videostrong社がボットネットの制御やマルウェアの配布に使っていたドメインとサーバーのテイクダウン（法的措置）
- バックドア経由で配布されていた10以上のマルウェアファミリーが使うC2ドメインのテイクダウン
- Videostrong社とその子会社・関連会社による、認定Android機器の製造・販売と、他ベンダーへのソフトウェア提供の永久禁止
- 認定Android TV機器のファームウェアの完全性を確かめる検証プロセスの強化
Googleは同社との提携を解消し、Googleアプリをプリロードした機器の製造を禁じました。Googleによると、同社は難読化でテストの隙をつき、初回起動の後に悪意あるコードを読み込んでいました。
仕組み：出荷前のファームウェアに組み込まれたバックドア
Googleによると、遅くとも2024年後半から、このマルウェアは次の3段階の構成になっていました。
- 1段目「x.cpe」（一部の機種では com.oemservice）：システム権限（android.uid.system）で動き、ファームウェアの領域にあらかじめ組み込まれている。利用者がアンインストールしても、再起動時に /oem/ パーティションから自動で再インストールされる
- 2段目「com.abc.nexus」：x.cpeの指示でモジュールを動かすローダー。最近は単一のモジュールを読み込む専用のドロッパーに移行
- 3段目「収益化モジュール」：Videostrong社以外の事業者（アフィリエイト）が開発したもの
指令はMQTTという軽量な通信方式で受け取り、アプリのサイレントインストール、任意のシェルコマンドの実行、画面のキャプチャ、ネットワークの偵察ができました。設定値「package_verifier_user_consent」を「-1」にして、Google Play プロテクトのアプリ検証も無効にしていました。Googleは、操作者がキー入力の注入やアカウント情報などの持ち出しを行っていたことも観測しています。
参加企業のPlumeの発表（2026年11月2日）は、ボットネットは販売前から機器に隠されており、利用者には同意の求めも通知もなかったと説明しています。
感染した機器は何に使われたか
Googleによると、読み込まれたモジュールで最も多かったのはレジデンシャルプロキシと通信帯域の共有に関わるもので、広告不正のモジュールもありました。
| 種類 | Googleが挙げたモジュール名の例 |
|---|---|
| レジデンシャルプロキシ・帯域共有 | Linkfog、AppSalt（Honeygain）、NetNut／Popanet、Traffmonetizer、EarnFM など |
| 広告不正 | Fission、HiddenView など |
| 追加のバックドア | Moyu、Spirit、Bird など（MoyuとBirdは「BadBox」の活動で以前に確認されたもの） |
Googleは2025年7月17日のブログで、1,000万台超の非認定機器を侵害した「BadBox 2.0」の実行者をニューヨークの連邦裁判所に提訴したと発表しています。
感染機器の大半はAndroid TVのセットトップボックスですが、Googleは遠隔医療端末、カラオケ機器、デジタルサイネージも確認しています。TrendAIのブログ（2026年11月2日）はプロジェクターも挙げ、2026年6月3日〜10月1日の観測で1,472,554台・206モデル・170か国超を数えたとしています。多かったのはマレーシア、ブラジル、イラク、メキシコ、台湾で、各社の観測時期や範囲が違うため共同の数字は「130万台超」としています。Plumeは「200か国超」と書いています。
レジデンシャルプロキシとは？警察庁・総務省・NICTの説明
警察庁・総務省・情報通信研究機構（NICT）が2026年7月21日に公表した「家庭用IoT機器を悪用するレジデンシャルプロキシの現状」は、一般家庭などのインターネット回線に接続されたIoT機器が、通信を中継するプロキシとして動くことから「レジデンシャルプロキシ」と呼ばれる、と説明しています。
これを経由した通信では、通信先に一般家庭のIPアドレスが記録され、本来の通信元をつかむのが難しくなります。海外からのアクセスを制限したサーバーにも入れるなど、企業の対策を回避しやすいとしています。
日本の被害：不正送金の約44％で使われていた
同資料によると、警察庁は、令和6年（2024年）中のインターネットバンキングの不正送金のうち、犯行時にレジデンシャルプロキシが使われたものが少なくとも1,918件・被害額約28.9億円で、件数全体の約44％、被害額の約33％を占めると分析しています。警察庁の「令和７年におけるサイバー空間をめぐる脅威の情勢等について」（2026年3月）は、令和7年も同様の事案を多数認知しているとしています。
NICTの調査から、レジデンシャルプロキシは国内に少なくとも数万台以上あると推定されています。
「無料で動画が見られる」機器も挙げられている
同資料は、「テレビに接続して無料で国内外の動画を視聴できます」などとうたう動画ストリーミングデバイスを例に挙げ、購入前の製造・流通段階でマルウェアが仕込まれ、ネットにつなぐと利用者が気づかないうちにプロキシとして動く事例が確認されている、としています。
悪用されると、利用者自身が攻撃者と疑われる危険や、家庭内のネットワークに侵入されて情報が流出する危険もあるとしています。警察庁と総務省は同じ日に、官民で対策を話し合う「レジデンシャルプロキシ対策アライアンス」を設立し、第1回会合を2026年9月7日に開きました。
日本の利用者への影響：公表されていること・いないこと
- 警察庁の関与：Googleの発表に「日本の警察庁」と緊密に連携したとあります。一方、警察庁のWebサイト（サイバー警察局の新着情報・注意喚起・その他お知らせ）には、2026年11月5日時点で本件の発表ページは掲載されていません
- 国内の感染台数：公表されていません。TrendAIが本文で挙げた国に日本はなく、日本の台数の記載もありません
- 対象の製品名・ブランド名：GoogleもTrendAIも公表していません。TrendAIは「206モデル」とだけ書いています
- 利用者による駆除の手順：公表されていません。Googleは、削除しても再起動時に再インストールされると説明しています
TrendAIは、サーバーの撤去で操作者と機器の接続は断たれたが、仕込まれたプログラムは各機器に残り、所有者が自分で取り除くことはできないと書いています。
自分のAndroid TVボックスは大丈夫？確認方法と対策
Play プロテクト認定を確認する
Google Play ヘルプは、次の手順で認定の有無を確認できると案内しています（テレビ向け機器だけの手順は書かれていません）。
- Google Play ストア アプリを開く
- 右上のプロフィール アイコンをタップする
- ［設定］をタップする
- ［デバイス情報］をタップして、Play プロテクト認定済みかどうかを見る
認定済みでない機器は安全ではない可能性がある、とヘルプは書いています。Google Playが入っていない機器は、認定デバイスのリストで確かめるよう案内されています。
ただし今回は、テストの隙をついて初回起動の後にコードを読み込む手口だったとGoogleは説明しています。認定の確認は判断材料の一つと考えてください。
買うとき・使うときに気をつけること
- 機器は信頼できるメーカーから購入する。Googleは発表の中で、認定パートナーの一覧としてAndroidの認定パートナーのページを案内している（Google）。Android TVの公式サイトにも日本向け製品の案内がある
- 「テレビに接続して無料で国内外の動画を視聴できます」など、本来有料のサービスを無料で使えるとうたう製品や、相場より安い不審な製品は買わない・使わない（警察庁・総務省・NICT）
- ブランドのない機器や認定されていないAndroid TVボックスを避ける（TrendAI）
- 「使っていない通信帯域を共有すると収益が得られる」とうたうアプリやサービスを安易に使わない（Google、警察庁・総務省・NICT）
- アプリは信頼できる公式ストアなどから入手し、提供元不明のアプリや無料VPNなどを安易に使わない。Google Play プロテクトは常に有効にする（Google、警察庁・総務省・NICT）
- OSやファームウェアを最新に保ち、メーカーのサポートが終わった機器は買い替えも検討する（警察庁・総務省・NICT）
被害が疑われるときは、警察庁のサイバー事案に関する相談窓口から、都道府県警察の窓口を確認できます。
よくある質問
XCPEとは何ですか？
Android TVのセットトップボックスなどのファームウェアに出荷前から組み込まれていたバックドア「x.cpe」と、それを使ったボットネットの呼び名です。Googleは2026年11月2日の英語版の発表で、130万台以上のボットネットを前の週（10月最終週）に日本の警察庁などと連携して解体したとしています。
日本で売られているAndroid TVボックスも感染していますか？
日本国内の感染台数も、対象の製品名・ブランド名も公表されていません。TrendAIは206モデルで感染を観測したとしていますが、モデル名は出していません。
自分の端末が感染しているか調べる方法はありますか？
一般の利用者向けの判定方法は公表されていません。Google Play ヘルプは、Play ストアの［設定］→［デバイス情報］でPlay プロテクト認定済みかどうかを確認できると案内しています。今回の手口はテストの隙をついたものだったため、認定は判断材料の一つです。
怪しいアプリを削除すれば大丈夫ですか？
Googleによると、x.cpeはアンインストールしても再起動時に自動で再インストールされます。TrendAIは、所有者が自分で取り除くことはできず、メーカーの対応や機器の交換などが必要だとしています。
レジデンシャルプロキシにされると利用者に何が起きますか？
通信先には自宅のIPアドレスが記録されるため、利用者自身が攻撃者と疑われる危険があります。家庭内のネットワークに侵入され、情報が流出する危険もある、と警察庁・総務省・NICTの資料は説明しています。
あわせて読みたい：2026年 国内の情報漏えい・サイバー攻撃一覧（毎日更新）
あわせて読みたい：TP-Linkはやばい？中国メーカーの危険性と安全に使う条件
あわせて読みたい：ラザルスとはどんなハッカー集団？日本での被害と手口
まとめ
- XCPEは出荷前のAndroid TVボックスなどに組み込まれていたバックドアで、Googleは2026年11月2日の英語版の発表で、130万台超のボットネットを前の週（10月最終週）に解体したとしている
- GoogleはVideostrong Technology社が意図的に開発・運用したと高い確信をもって評価し、提携を解消した
- 感染機器はレジデンシャルプロキシや広告不正に使われた。日本では令和6年の不正送金の約44％（1,918件）でレジデンシャルプロキシが使われていた
- 日本国内の感染台数、製品名、駆除手順は公表されていない。Play プロテクト認定の確認、不審な動画ストリーミング機器や帯域共有アプリを使わないことが挙げられている
2026年11月5日確認の公表資料で書いています。警察庁やGoogleなどから新しい発表が出た場合は、公式発表を優先してください。
参考
- Google Threat Intelligence Group「Shutting the Door on the XCPE Botnet」（英語版・2026年11月2日公開／ページ表示は11月3日・2026年11月5日確認）
- Google Threat Intelligence Group「XCPE ボットネットを完全封鎖：Google による脅威への対抗と詳細解析」（日本語版・2026年11月4日・2026年11月5日確認）
- Plume「Google Leads Industry Takedown of Botnet Hidden in More Than 1.3 Million Set-Top Boxes across 200 Countries」（2026年11月2日・2026年11月5日確認）
- TrendAI「TrendAI Research Helps Disrupt Botnet of More Than 1.3 Million Pre-Infected Set-Top Boxes」（2026年11月2日・2026年11月5日確認）
- Google「We’re taking legal action against the BadBox 2.0 botnet.」（2025年7月17日・2026年11月5日確認）
- 警察庁・総務省・国立研究開発法人情報通信研究機構（NICT）「家庭用IoT機器を悪用するレジデンシャルプロキシの現状」（2026年7月21日・2026年11月5日確認。NICTER掲載版も同内容）
- 警察庁「家庭用IoT機器を悪用したサイバー攻撃への官民一体となった対策の推進について」／「レジデンシャルプロキシ対策アライアンス」の設立について（2026年7月21日・2026年11月5日確認）
- 警察庁「レジデンシャルプロキシ対策」（2026年11月5日確認）
- 警察庁サイバー警察局「令和７年におけるサイバー空間をめぐる脅威の情勢等について」（2026年3月・2026年11月5日確認）
- Google Play ヘルプ「Play プロテクト認定ステータスを確認、修正する」（2026年11月5日確認）
- Google Play「認定デバイスのリスト」（2026年11月5日確認）
- Android「Play Protect certified」／同 Partners（2026年11月5日確認）
- Android TV 公式サイト（2026年11月5日確認）
- 警察庁「サイバー事案に関する相談窓口」（2026年11月5日確認）
コメント