Googleは警察庁などと協力し、中国企業がネット接続機器に仕込んだ「XCPE」と呼ばれるバックドアを無力化した。この仕組みにより、同社製の130万台以上の機器が、家庭のネット回線を第三者が利用できる「レジデンシャルプロキシ」として悪用され、マルウェアも仕込まれていた。

レジデンシャルプロキシとは、家庭のインターネット回線を経由して通信を中継するサービスのことだ。サイバー犯罪者はこれを悪用し、攻撃元を隠して不正行為を行ったり、個人情報を盗み取ったり、収集したりする。

Googleは11月3日に公開したブログで、前週、日本の警察庁などと協力し、中国深セン市に本社を置く電子機器メーカー「深圳市視壮科技有限公司（Videostrong Technology）」が構築したバックドアと、感染機器で構成されるネットワーク「ボットネット」を無力化したと発表した。

対象となったのは、Android TVを搭載したセットトップボックスのほか、カラオケ機器、遠隔医療機器、デジタルサイネージなど、Androidを搭載したさまざまなネット接続機器だ。

Googleは、視壮科技が金銭的利益を得るために、このバックドアを意図的に開発し、機器に組み込んで運用していたと判断している。さらに、同社が感染機器を遠隔操作できる権限を犯罪関係者に販売し、マルウェアの組み込みにも協力していたとみている。

調査では、視壮科技側の運用者が感染機器を遠隔操作し、画面をリアルタイムで盗み見たり、遠隔操作でキー入力を行ったり、アカウント情報や機器情報などの機密情報を盗み取ったりしていたことも確認された。

Googleによると、このマルウェアは数年にわたり、さまざまなメーカーや機種の機器に直接組み込まれていた。運用者は専用のシステムを構築し、検知を逃れるために設定を繰り返し更新していた。また、関係する犯罪グループの管理にも、このシステムを利用していたという。

Googleは声明で、「今回の行為は、一部の従業員が独断で行ったものでも、開発過程での単なるミスでもないと考えている。そのため、Googleは視壮科技との提携を解消し、Googleのアプリをプリインストールした機器の製造を禁止した」と述べた。

さらに、機器メーカーがユーザーの端末に意図的にマルウェアを仕込む行為は、利用者の信頼を大きく裏切り、重大な危険をもたらすと強調した。

「ユーザーが知らないうちに、同意もなく、感染した機器がさまざまな犯罪者によるマルウェア拡散の道具になっていた」

Googleは法的措置を通じて、視壮科技がボットネットの制御やマルウェアの追加に使用していたドメインとサーバーを停止させた。

また、視壮科技と今後設立される子会社や関連企業に対し、Googleの認証を受けたAndroid機器の製造・販売を禁止し、他の認証済みメーカーへのソフトウェア提供も禁じた。

警察庁によると、事件が発覚したきっかけは2025年9月、福岡県警がネットバンキングの不正送金事件を捜査する中で、マルウェアに感染したネット接続機器を発見したことだった。

その後、関東管区警察局サイバー特別捜査部が機器の製造・販売の実態を調べ、関連情報をGoogleに提供した。

警察庁は今年7月、スマートテレビ、デジタルフォトフレーム、ルーター、ネットワークカメラなどの機器が、レジデンシャルプロキシとして悪用される危険性を警告していた。

警察は、提供元が不明、または信頼性を確認できないソフトウェアやアプリ、無料VPNサービスをダウンロードしたり、利用したりしないよう呼びかけている。

また、無料の動画配信サービスや、自分のネット回線を第三者に使わせることで報酬を得られるサービスについても、注意を促した。

レジデンシャルプロキシが悪用されると、サイバー攻撃の発見が難しくなるだけでなく、攻撃元の特定も困難になる。

警察庁の統計によると、2024年に発生したネットバンキングの不正送金事件のうち、1918件でレジデンシャルプロキシが使われ、被害額は約28億9千万円に上った。