Android機器130万台に出荷時から“裏口”｜Videostrong事件をやさしく解説

「テレビの横に置いた小さな箱が、知らない誰かの不正送金の通信を、あなたの家の回線から外に出していた」。これが今回の事件で実際に起きたことです。難しい言葉が多い事件なので、この記事では最初に言葉の説明をして、そのあとで事件の中身と、ご家庭でできる確かめ方をお話しします。大阪・心斎橋でスマホやタブレットの修理をしている当店が、お客様からよく聞かれる疑問に答える形で書きました。読み終わるころには、テレビの裏の箱を見て「これは大丈夫か」を自分で判断できるようになります。

1. 先に言葉の説明。たとえ話で覚えてください

ニュースの文章が分かりにくいのは、言葉のせいです。意味が分かれば、事件の中身は難しくありません。この記事で使う言葉を、家のたとえで並べます。

この表の中で一番大事なのは「ファームウェア」と「初期化」の違いです。今回の裏口は家具（アプリ）ではなく基礎（ファームウェア）に埋まっています。だから、家具を全部捨てても（初期化しても）裏口は残ります。ここを押さえておくと、あとの説明がつながります。言葉はこれで足ります。次は、実際に何が起きたのかを順番に見ていきます。

2. 何が起きたのか。順番にお話しします

Videostrong Technology（ビデオストロング・テクノロジー）は、中国の深圳（しんせん）という街にある、Androidの機器を作る会社です。自分の会社のブランド「MECOOL（メクール）」や「YOKATV」で売るほか、ほかの会社のブランド名で売られる機器も作ってきました。Googleの調べでは、この会社が自分で作った機器に裏口を仕込み、その鍵を犯罪グループに売ってお金にしていました。Googleは「社員の誰かが勝手にやったのでも、うっかりの手違いでもなく、会社として意図的にやった」と高い確度で判断しています。

規模はGoogleの集計で130万台以上です。別のルートで侵害された少なくとも1,000万台の機器についても、今回の措置で犯罪側のアクセスを断てる見込みだとGoogleは説明しています。これは遮断の効果についてのGoogleの推計で、確認された実績ではありません。セキュリティ会社TrendAIが2026年6月3日から10月1日まで観測した結果では、家庭や携帯の回線380万件以上が「又貸し」に使われ、機種の数は206、確認された国は170か国を超えました。日本国内の台数は公表されていません。ただし福岡で実際の機器が押収されている以上、日本の家庭にも入っていることは確かです。ここまでが事件の全体像です。次の章は、この記事でいちばん伝えたい「あなたの家にも関係がある理由」です。

3. 「Android」はスマホだけではありません

ここが、この事件を「自分には関係ない」と思ってしまう一番の落とし穴です。Androidというと、GalaxyやAQUOSやXperiaのようなスマホを思い浮かべる方が多いと思います。しかしAndroidは「スマホの名前」ではなく、Googleが作って無料で公開している「機械を動かす基本のしくみ」です。無料なので、世界中のメーカーがいろいろな機械の土台に使っています。今回裏口が見つかったのも、スマホではなく、おもにテレビにつなぐ箱でした。

表を見ると分かるとおり、Androidは「家の中と街の中のあちこち」に入っています。今回Googleが感染を確認したのは、TVボックスのほかに、遠隔医療の端末・カラオケ機・デジタルサイネージです。つまり「スマホを持っていない」「ガラケーしか使っていない」というお年寄りの家にも、テレビの横の箱や、家族が買ってきたプロジェクターという形で、Androidの機器は入っています。息子さん・娘さんが「テレビでYouTubeが見られるようにしてあげる」と置いていった箱は、この種類の機器です。

大事なのは「Androidだから危ない」のではない、という点です。土台が同じでも、家を建てる大工さん（メーカー）が信用できるかどうかで安全は決まります。今回は大工さん自身が裏口を作っていました。ですから見るべきは「Androidかどうか」ではなく「どこの会社が作ったか」です。では、その箱に裏口があると何が起きるのか。次の章で5つに分けて説明します。

4. どれだけ危ないのか。5つに分けて説明します

「ウイルスが入った」と聞くと、パソコンが遅くなる・変な広告が出る、といったことを思い浮かべるかもしれません。今回の件は、それとは中身が違います。Googleの技術的な解析をもとに、持ち主にとっての危なさを5つに分けます。

危なさ1：消しても戻る。初期化しても消えない

裏口のプログラム（名前は「x.cpe」）は、あとから入れたアプリではなく、機器の基礎（ファームウェア）に最初から埋め込まれています。動く権限は機器の中でも強い「システム」の権限で、持ち主がアプリ一覧から消すことはできません。仮に消しても、次に電源を入れたときに、機器の奥の「/oem/」という場所から自分で自分を入れ直します。「買ったときの状態に戻す」初期化も効きません。戻す先の基礎そのものに裏口が入っているからです。普通のスマホで「変なアプリを消せば終わり」という感覚は、ここでは通用しません。

危なさ2：門番（Google Play プロテクト）を黙って帰らせる

Androidには、悪いアプリが入ってこないか見張る門番として Google Play プロテクトが入っています。今回の裏口は、機器の内部の設定（package_verifier_user_consent という項目）を書き換えて、この門番の仕事そのものを止めていました。そのうえで、持ち主に何も聞かずにアプリを追加で入れられます。「Playプロテクトが入っているから大丈夫」という前提が、この機器では最初から崩れています。

危なさ3：画面をのぞき見して、リモコンを乗っ取る

Googleの解析では、裏口は画面を続けて撮影して外に送る機能と、リモコンのボタン操作を外から送り込む機能を持っていました。犯罪側は、あなたのテレビに今なにが映っているかを見ながら、まるでリモコンを握っているように操作できます。動画サービスやGoogleアカウントのログイン画面でIDとパスワードを入力すれば、その画面も見られます。Googleは実際に、アカウント情報・機器の情報・入っているアプリの一覧・動作記録が抜き取られ、遠隔から命令を打ち込まれた（シェルを開かれた）ことを確認しています。

危なさ4：あなたの家の回線が「犯罪の通り道」になる

この仕組みの主な稼ぎ口は、1番目の表で説明した「レジデンシャルプロキシ（家庭用回線の又貸し）」です。感染した機器は、通信を又貸しするための部品（SDK）を何種類も読み込み（Googleの解析では1台に3つ入っていた例もあります）、見知らぬ第三者の通信をあなたの家の回線を通して外に出します。相手側から見ると、通信を送ってきたのはあなたの家です。福岡県警が不正送金事件の「不正アクセス元」をたどって行き着いた先が、感染した機器だった。これがこの仕組みです。犯罪に使われた回線の持ち主として、警察の調べで最初に名前が挙がるのは、機器の持ち主であるあなたです。

危なさ5：犯罪グループが、好きなものを後から足せる

裏口そのものは入口にすぎません。本体は「com.abc.nexus」という名前の「荷物の受け取り口」です。Videostrongはここへの接続権を売り、買った側が広告のクリックを水増しする部品（HiddenView、Fission など）や、別の裏口（Moyu、Spirit、Bird など）を載せていました。Googleは「裏口を作る側、広告詐欺のグループ、回線の又貸し業者が、ひとつながりの商売として動いている」と説明しています。2026年8月からはさらに手口が進み、「com.android.system.ntp」のような、いかにも正規の部品に見える名前に化けた新型が配られました。新型は機器の弱点を突いてマスターキー（root権限）を取り、システムの一番深い場所（/system/priv-app/）に自分を書き込みます。見つかりにくくするための進化だとGoogleは評価しています。

ここまで読めば、気をつける理由は分かりました。残りの章は「どう確かめて、どう対処するか」だけです。記事はあと半分です。

5. 「Googleの認定を受けた機器」だったのに、なぜ通ったのか

ここが今回の事件で一番たちの悪い点です。裏口は、GoogleのPlayプロテクト認定（Android TV認定）を受けた「正規」の機器にも入り込んでいました。どのくらいの割合だったかは、Googleの報告からは分かりません。Googleはメーカーに、互換性と安全性の試験を一式受けさせています。Videostrongはプログラムを読みにくく細工して試験の隙を突き、「機器を最初に起動したあとに」悪いプログラムを読み込む作りにしていました。試験のときには悪い動きが見えないので、認定が通ります。Googleはこれを受けて、認定Android TV機器の基礎（ファームウェア）が改ざんされていないかを確かめる方法を改め、審査の手順も変えたと説明しています。

利用者の側で覚えておくことは一つです。「Google認定のマークがある」「Googleのアプリが最初から入っている」は、メーカーが善意であることの証明にはなりません。認定は「試験に通った」という事実だけを示します。メーカーが試験のあとで動く仕掛けを入れれば、認定のまま出荷できます。これは2025年3月にGoogleとHUMAN Securityが摘発した「BadBox 2.0」（1,000万台以上のTVボックスが感染）と同じ系統の手口で、今回は「メーカー本体が実行者だった」とGoogleが名指しした点が違います。

6. 対象になった機器。スマホは今のところ名指しされていません

Googleは「感染した機器の圧倒的多数はAndroid TVのセットトップボックス（テレビにつなぐ箱）」としています。あわせて、遠隔医療の端末、カラオケ機、デジタルサイネージ（お店の電子看板）でも感染した機器を観測しました。英The Registerの報道では、Videostrongは家庭用TVボックスのほかにプロジェクターも作っています。

ブランドと機種について、Googleは完全なリストを出していません。調査に協力したSynthientという会社が、今回の作戦で観測した機種名の一覧（約290件）を公開しています。中心はMECOOLブランド（KM9PRO、KM9PRO_MAX、KM7PLUS、KM2PLUS DELUXE、KIII PRO、M8S PRO W など）です。「4K Google TV Box」「UHD Google TV STB」のような、どこのメーカーとも分からない名前の機種も並びます。Synthient自身が「機種名だけでは感染の確認にはならない」と注意書きをしている点には気をつけてください。同じ機種名でも、中身の基礎（ファームウェア）が違えば別物です。

スマートフォンとタブレットは、Google・警察庁・各社の公開資料のどれにも名指しされていません。Galaxy、Pixel、AQUOS、Xperia など国内の携帯会社や量販店で売られている機種が今回の対象だという情報はありません。ただし、Videostrongは他社ブランド向けにも機器を作る会社です。Googleは「多くの機種・ブランドに、何年にもわたって組み込まれていた」と書いています。ですから、ノーブランドの格安Android機器（海外通販で買う箱型・棒型・タブレット型）を同じ目で見る理由があります。

7. 家にある機器を確かめる手順（お年寄りの方へ・ご家族の方へ）

先にお断りしておきます。この手順で分かるのは「感染しているか」ではなく「疑わしいか」です。裏口は機器の基礎に埋まっているため、家庭で感染そのものを確かめる方法はありません。ここに挙げるのは手がかりで、重なるほど疑いが濃くなると考えてください。設定画面を開くのが不安な方は、手順1と2だけ自分で確かめ、3以降は家族や親しい人に見てもらってください。見るのはテレビの裏と、箱のシールからです。

1. テレビの横に「小さな箱」や「棒」がつながっていませんか。テレビのHDMI端子（横長の差し込み口）に、手のひらサイズの黒い箱や、USBメモリーのような棒が刺さっていたら、それがTVボックス・TVスティックです。誰が、いつ、どこで買ったかを思い出してください。海外通販や中古で買ったもの、「無料で世界中のチャンネルが見放題」と言って売られたものは、まず疑ってかかります。
2. 箱に書いてある名前を見る。箱の裏や底にブランド名と型番のシールがあります。MECOOL、YOKATV、または「4K Android TV Box」「Google TV Box」のような、会社名の分からない名前なら、次の手順へ進みます。ソニー・シャープ・パナソニックなどのテレビ本体、Amazonの Fire TV Stick、Googleの Chromecast は、今回名指しされていません。
3. 型番を一覧と照らす。一致しても「感染」とは限りません。Android TVなら「設定」→「デバイス設定」→「デバイス情報」に型番が出ます。それをSynthientの観測機種一覧（英語のページです。型番の文字列を探すだけなので、ご家族に頼んでください）と照らします。6章で書いたとおり、型番だけでは感染の確認にはなりません。ただし、一致した機器の感染の有無を家庭で確かめる手段はないので、一致したら念のため電源を切って線を抜く、という目安にしてください。使うかどうかの判断は、線を抜いたあとで販売元やご家族と相談すれば間に合います。
4. 門番（Google Play プロテクト）の「動作設定」を見る。これは「門番が働いているか」の確認です。スマホやタブレットなら Google Play ストア → 右上のプロフィール → 「Play プロテクト」→ 歯車のマークで、「Play プロテクトによるアプリのスキャン」がオンかオフかが分かります。Android TVでは「設定」→「セキュリティと制限」（機種によっては「デバイス設定」の中）の「アプリを確認」が同じ項目です（名称や場所は機種で異なります。Googleの説明）。自分で切った覚えがないのにオフになっていれば、手がかりの一つです。ただし、家族が切った、古い機種で項目がない、といった理由でもオフになるので、これだけで感染と決めつけないでください。
5. 端末の「認定状況」を見る。動作設定とは別の項目です。これは「その機器がGoogleの認定を受けているか」の確認です。Google Play ストア → プロフィール → 設定 → 概要 の「Play プロテクト認定」に、「認定済み」か「認定されていません」かが出ます（Googleの確認手順）。「認定されていません」なら、製造元のはっきりしない機器である可能性が高く、手がかりになります。逆に「認定済み」と出ても、5章で書いたとおり安全の証明にはなりません。今回の裏口は認定済みの機器にも入っていました。
6. 見覚えのないアプリ名・おかしな動きは「手がかり」として見る。設定のアプリ一覧に「com.android.system.ntp」「com.android.sso.auth.handler」「com.oemservice」「com.abc.nexus」のような名前があれば、Googleが不正な部品として挙げた名前と同じです。ただし、似た名前の正規の部品もあるので、名前だけで断定はしないでください。誰も使っていない深夜に通信ランプが点きっぱなし、Wi-Fiルーターの管理画面で通信量が異様に多い、テレビが勝手に別の画面に切り替わる、といった動きも手がかりです。手がかりが二つ以上重なったら、線を抜いて販売元に相談してください。
7. 作った会社を調べる。箱のブランド名ではなく「製造元がどこか」「今も更新プログラムが配られているか」を確かめます。Googleは「信頼できるメーカーからだけ買うように」と呼びかけ、認定パートナーの一覧を公開しています。この一覧に載っていることは最低条件で、載っていれば安全という意味ではありません。

8. 疑わしいとき、やること・やっても無駄なこと

迷ったら、一つだけ覚えてください。線を抜く。それで通信は止まります。判断は、線を抜いたあとで家族や販売店と一緒にすれば間に合います。

9. ご家族ができること。お年寄りの家に行ったら、この3つを見てください

この事件で一番困るのは、「自分では設定画面を開けない」「何の箱か分からない」という方です。息子さん・娘さん・お孫さんが帰省したときや、介護や訪問の機会に、次の3つを見てあげてください。10分で終わります。

あわせて、ご本人には「テレビの箱が勝手に動いたら、線を抜いて電話して」と伝えておいてください。危ないかどうかの判断を本人に求めず、「線を抜く」という一つの動作だけ覚えてもらうのが現実的です。線を抜いても、テレビそのものは今までどおり見られます。

10. スマホやタブレットを買うとき、修理店が見てほしい3点

当店は大阪・心斎橋でiPhone・iPad・Androidスマホの修理をしている、総務大臣に登録された登録修理業者です。修理の現場で機器のプログラムに手を入れることはありませんが、「安く買った端末がおかしい」「通販で買ったタブレットが変な広告ばかり出す」という相談は定期的に受けます。今回の事件を踏まえて、買う前に見てほしい点を3つに絞ります。

スマホ本体の調子が悪いと「ウイルスでは」と心配される方は多いのですが、画面に突然出る「ウイルスに感染しました」という警告のほとんどは偽の広告です。その見分け方はスマホの「ウイルスに感染しました！」警告はただの偽広告にまとめています。LINEやアカウントの乗っ取りが疑われるときはLINEが乗っ取られたらすぐやることを先に読んでください。Galaxy・Pixel・AQUOSなど国内で流通するAndroidの画面割れ・バッテリー・電源の修理はAndroid修理のページでご案内しています。

この事件と同じ「出荷時から入っていて消せない」型は、テレビの箱だけでなくスマホ本体でも見つかっています。本物そっくりの名前の格安スマホにマルウェアが入っていた調査は安すぎるAndroidスマホは箱を開ける前から危ない｜偽ブランド端末に出荷時からマルウェアに書きました。一方、「自分で入れてしまう」型の代表が、2026年9月から全国で続いている銀行アプリの乗っ取りです。合図になる文面と拒否すべき4つの許可は「Android限定」のSMSは詐欺の合図｜銀行アプリ乗っ取りの手口にまとめています。

ここまで読んだ方は、家の機器を見直す準備ができています。今日、テレビの裏を一度見てください。箱がなければ、この件は終わりです。箱があれば、7章の手順に戻ってください。

よくある質問（Videostrong事件とAndroid機器）