【詳細版】中国製TVボックスは危険？出荷時マルウェアの実態と個人でできる対策

生活

2026.11.05

この記事は約36分で読めます。

はじめに
結論：危ないのは「中国製」より「誰が作り、どこで売られたか」
2025〜2026年に起きた主な事件
出荷時マルウェアがもたらすリスクの種類と大きさ
公的機関・セキュリティ企業の注意喚起と推奨
一般ユーザーができる具体的な対策
「中華製＝危険」という噂は本当か
具体例：Xiaomi TVとスマートバンドの安全性を評価する
優先度付きチェックリスト
よくある質問
まとめ
参考リスト
1. 共有:
2. 関連

はじめに

「中国製の格安TVボックスやタブレットには、最初から怪しいソフトが仕込まれている」という噂を耳にして、手元の機器が心配になった方も多いのではないでしょうか。実際に2025〜2026年には、出荷時から不正ソフトが組み込まれた機器が世界で数百万台規模で見つかり、中国製 TVボックスが危険だという話は根拠のない噂とは言い切れなくなりました。ただし、調べていくと「中国製かどうか」よりも大切な見分け方があることがわかります。

👇 本記事でわかる3つの重要ポイント 👇

【テーマ1】出荷時マルウェア事件の実態と被害の中身
【テーマ2】格安IT機器の買い方と安全な使い方のコツ
【テーマ3】「中華製＝危険」という噂の本当のところ

この記事では、2026年11月時点で公表されている事件の内容と、公的機関やセキュリティ企業の注意喚起をもとに、一般の家庭でできる対策を順番に整理しました。Xiaomi製のGoogle TVとスマートバンドを例にした具体的な評価もあるので、今使っている機器の点検にも役立ててください。

結論：危ないのは「中国製」より「誰が作り、どこで売られたか」

本当に危ないのは、「中国製かどうか」より「どこが作って、どの経路で売られているか」です。2025〜2026年に大規模な被害が確認されたのは、ノーブランドのAndroid TVボックス、格安タブレット、偽物スマホなど、製造元がはっきりしない機器や、ODM（設計・製造を請け負う会社）が作ったファームウェア（機器を動かす基本ソフト）を積んだ機器が中心でした。

ただし、2026年11月に公表されたXCPE事件では、Googleの認証を受けたメーカー自身が、出荷時から裏口（バックドア）を仕込んでいました。つまり「認証済みなら絶対安全」とは言えないことになります。

一方で、Xiaomi製のGoogle TVとスマートバンドについては、公表済みのマルウェア混入例は見当たらず、リスクは「中」以下と評価できます。ただし、通信を止めるアプリ「NetGuard」だけで守るのには、仕組みの上で限界があります。テレビは「ネットから切り離して外付けのストリーミング端末を使う」か「ルーター側で隔離する」方が確実です。

要点を短くまとめると、次の3つです。

2025〜2026年には、出荷時からファームウェアに組み込まれた不正ソフトの事例が相次ぎました。XCPE（130万台超）、BADBOX 2.0（1000万台超）、Vo1d（約160万台）、Kimwolf（200万台超）、Keenadu（格安タブレット、1万3715人が遭遇）です。被害は広告詐欺、家庭の回線を犯罪の中継に使う「住宅用プロキシ」、アカウント情報の盗み出し、家庭内ネットワークへの侵入にまで及びます。初期化しても消えないため、利用者の手で取り除くのは事実上できません。
最も効く対策は買う段階にあります。Google認証（Play Protect認証）の有無、正規の販売ルート、メーカーの更新実績を確認し、「無料で全チャンネル見放題」をうたう機器は避けます。使っている機器は、ルーター側での隔離（ゲストWi-Fi）とDNSフィルタリング（危ない宛先への通信を止める仕組み）を行い、使わないときは電源を切ります。
Xiaomi TV（Google TV搭載）とスマートバンドの組み合わせは、ノーブランド機器よりリスクが大幅に低いと評価できます。ただしNetGuardは、起動直後の通信や、system権限・root権限（機器の深い部分を操作できる強い権限）を持つ不正コードは防げず、公式にはテレビにも対応していません。テレビはネットにつながず、Google TV Streamer、Fire TV、Apple TVなどを外付けするのが最も確実です。

2025〜2026年に起きた主な事件

この2年ほどで、出荷時から不正ソフトが組み込まれた機器の事件が次々に明らかになりました。ここでは代表的な8つの事例を、公表された内容に沿って紹介します。

XCPE（2026年11月公表）：メーカー自身が裏口を仕込んだ事件

Googleの脅威分析チーム「Google Threat Intelligence Group（GTIG）」は、2026年11月2日に「Shutting the Door on the XCPE Botnet」という報告を公表しました。それによると、前の週に、130万台を超えるセットトップボックス（テレビにつなぐ受信・再生機器）を束ねたボットネット（遠隔操作される機器の集団）を解体しました。

GTIGは、中国のOEM/ODM（他社ブランドの製品も作るメーカー）であるVideostrong Technologyが、お金もうけのために意図的に開発・配置・運用したと「高い確度で評価」しています。Videostrongは自社ブランド「MECOOL」のほか、他社ブランド向けにも機器を作っていました。調査会社Synthientは、MECOOL KM9PRO Maxの実機から裏口を見つけたとしています。

手口は次のとおりです。

最初に動く小さな部品は、ファームウェアのシステム領域に組み込まれ、system権限で動きます。名前は「x.cpe」で、一部のビルドでは「com.oemservice」です。起動のたびに/oem/パーティション（記憶領域の区画）を確認し、不正ソフトの本体を入れ直します。利用者が削除しても、再起動すると自動で元に戻ります。
Googleの事前検査をすり抜けるため、コードを読みにくく加工し（難読化）、初回起動の後で不正なコードを読み込む方式を取っていました。
指令サーバーとはMQTT（軽量な通信方式）でつながり、アプリの無断インストール、Play Protect（Googleのアプリ検査機能）の無効化、任意のコマンドの実行、画面の撮影、キー入力の送り込み、ネットワークの偵察ができました。
実際に、アカウント情報、機器情報、システムの記録（ログ）の持ち出しや、外から操作するための接続（リバースシェル）の確立も観測されています。

悪用の中身も深刻です。Videostrongは機器へのアクセス権を「提携する犯罪者」に販売していました。その結果、広告詐欺、住宅用プロキシ（持ち主の回線を他人の通信の中継に使うこと）、別のマルウェアの配布が行われていました。

規模については、次のような数字が報告されています。

TrendAIの集計では、6月3日〜10月1日に206機種で147万2554台が感染していました。
感染は170か国以上に広がり、多かったのはマレーシア、ブラジル、イラク、メキシコ、台湾でした。
遠隔医療機器、カラオケ機、デジタルサイネージ（電子看板）でも見つかっています。

Googleがとった措置は次の4つです。

指令用のドメインとサーバー、さらに十数種類の関連マルウェアの指令ドメインを、法的措置で停止しました。
Videostrongと今後の子会社・関連会社に対し、認証済みAndroid機器の製造・販売と、他の認証メーカーへのソフト供給を禁止しました。
認証済みAndroid TV機器のファームウェア検査を改善しました。
関連マルウェアの指令系統を断ったことで、「少なくとも1000万台の別の感染端末へのアクセスも遮断できる」と見積もっています。

この作戦には、警察庁、Lumen、HUMAN Security、Plume、Synthient、TrendAIが協力しました。注意したいのは、今回の措置は指令系統を断っただけで、感染した端末から不正ソフトが取り除かれたわけではない点です。Plumeは、感染機器にGoogle認証機器とAOSP（Googleのサービスを含まないオープンソース版Android）機器の両方が含まれていたと述べています。一方で、認証機器が何台含まれていたかをGoogleは公表していません。認証済み機器でも起きた初めての大規模事例として、重く受け止める必要があります。

Keenadu（2026年2月公表）：格安タブレットのファームウェアに混入

ロシアのセキュリティ企業Kasperskyは、2026年2月17日に技術ブログSecurelistで「Keenadu the tablet conqueror and the links between major Android botnets」を公表しました。格安タブレットのファームウェアに、不正ソフトが入り込んでいたという内容です。

手口は次のとおりです。

不正なライブラリ（プログラムの部品）が、ファームウェアを組み立てる段階で、Androidの中核ライブラリ「libandroid_runtime.so」に組み込まれていました。
そこからZygote（すべてのアプリを起動する親プロセス）に入り込むため、起動したすべてのアプリの中に侵入します。
一部では、正規のデジタル署名付きファームウェアとして、OTA（ネット経由の自動更新）で配信されていました。Kasperskyはこれを「サプライチェーン攻撃（製造・流通の途中で仕込む攻撃）の結果」とみています。
顔認証サービスやランチャー（ホーム画面のアプリ）などのシステムアプリに組み込まれた例もあり、顔データが盗まれる可能性も指摘されています。
一部の機能を持つアプリはGoogle Playでも見つかりましたが、Googleは該当する3つのアプリを削除済みと説明しています。

被害としては、広告詐欺のほか、ブラウザ検索の乗っ取り、アプリのインストール誘導、TelegramやInstagramの認証情報の盗み出し、位置情報の取得などが報告されています。「知らない間にショッピングカートに商品が追加された」という被害報告もあります。

Kasperskyの集計では、1万3715人がKeenaduに遭遇しました。国別ではロシアが最多で、日本、ドイツ、ブラジル、オランダが続きます。日本は被害の多い国の上位に入っているのです。Kasperskyは、Keenaduと、Triada、BADBOX、Vo1dといった大規模ボットネットとのつながりも指摘しています。

影響を受けたブランドと、その対応は次のとおりです。多くはMediaTek Helio G99というチップを積んだ格安機でした。

ALLDOCUBE：2026年2月27日に対象機種を公表しました。iPlay 50 mini Pro（NFE版を含むAndroid 13版）、iPlay 60 mini Pro、iPlay 60 Pro、iPlay 70 Pro（いずれもAndroid 14版）の4機種です。修正版のOTA配信は3月4日までに完了し、修正済みファームウェアの検査をKasperskyに委託しました。Securelistの記事には「Alldocubeが共有したファームウェアは感染していないことを確認できる」という追記があります。なおKasperskyによれば、ALLDOCUBEが以前に別件で問題を認めた後に出たファームウェアにも、Keenaduは残っていました。
Headwolf／Alphawolf：2月27日に、一部機種（利用者の報告ではFPad 5/5A、FPad 6など）で問題を認め、修正版を3月初旬を目標にOTAで配信すると告知しました。
Teclast：当初は「マルウェアではない」とする個別回答をしていたと報じられましたが、その後問題を認めました。対象機種IDとしてT65 Max、T60 Plus、T70、T50 Max、T50 Proなどを挙げ、3月15日までのOTA修正を予告しました。
DOOGEE：T30 Proなどで報告があり、対応を表明しています。
そのほか、Hitabt G30A、aiwa Tab AG10などでも、利用者による検出報告があります（メーカーの公式確認ではない情報を含みます）。

BADBOX 2.0（2025年）：1000万台超の非認証機器

米連邦捜査局（FBI）のインターネット犯罪苦情センター（IC3）は、2025年6月5日に公共サービス告知（I-060525-PSA）を出しました。ストリーミング機器、プロジェクター、後付けのカーナビ・車載機、デジタルフォトフレームなどが、買う前から裏口付きで出荷されていたり、非公式のアプリストアから入れたアプリで感染したりしているという内容です。

FBIは、感染機器は「数百万台」に上り、家庭のネットワークが住宅用プロキシとして犯罪に悪用されていると警告しました。感染の兆候として挙げたのは、次の点です。

非公式のアプリストアが入っている
Play Protectを無効にするよう求められる
「ロック解除済み」「無料コンテンツ」をうたう汎用のストリーミング機器
聞いたことのないブランド
Play Protect非認証のAndroid機器
説明のつかない通信がある

調査会社HUMAN Security（同社の調査チームSatori）は、222の国・地域から関連する通信を観測し、関連する機器はすべて中国本土で製造されていたと報告しています。

Googleは2025年7月11日、ニューヨーク南部地区の連邦地裁に「Google LLC v. Does 1–25」という訴訟を起こしました。訴状によれば、2025年4月時点で1000万台を超える、感染したAOSPベースのTVボックス、タブレット、プロジェクター、後付け車載機が対象で、いずれもGoogle非認証の機器でした。

Vo1d（2024〜2025年）：改造Androidを積んだTVボックス

中国のセキュリティ企業QiAnXin（奇安信）の研究部門XLabは、2025年2月27日公表のブログ「Long Live The Vo1d Botnet」でVo1dの観測結果を報告しました。ブログ本文によると、1日に活動するボットの数は2025年1月14日から約150万台前後の状態が7日間続き、1月19日に159万299台でピークに達しました。ただし、同じブログの要約部分や多くの報道ではピークを1月14日としており、日付には食い違いがあります。

感染は226の国・地域に広がり、多かったのはブラジル、南アフリカ、インドネシアなどです。対象は主に、AOSPを改造して「Android TV」を名乗る非認証のボックスです。XLabは、サプライチェーンの段階で感染が始まっている可能性を指摘しています。

Kimwolf（2025年末〜2026年）：家庭内LANまで狙う

Synthientの推計では、Kimwolfの感染は200万台を超えます。主な対象は、非公式（非認証）の格安Android TVボックスです。感染の経路は大きく二つあります。一つは、出荷時から有効になっているADB（Android Debug Bridge、開発者向けの遠隔操作機能）です。もう一つは、あらかじめ入っている住宅用プロキシ用のソフト部品（SDK）です。

米国のセキュリティ記者ブライアン・クレブス氏のサイトKrebsOnSecurityは、2026年1月の記事「The Kimwolf Botnet is Stalking Your Local Network」で、Synthientの調査を紹介しています。それによると、感染の3分の2は、セキュリティ機能も認証の仕組みも組み込まれていないAndroid TVボックスでした。感染が多い国はベトナム、ブラジル、インド、サウジアラビア、ロシア、米国です。こうした機器は、Amazonなど大手通販サイトの第三者出品でも売られています。

怖いのは、住宅用プロキシを「足場」にして、同じ家庭内LANにある他の機器にまで侵入する点です（Infoblox、KrebsOnSecurity、2026年1月）。

IPIDEA住宅用プロキシ網の摘発（2026年1月）

GTIGは2026年1月28日、「世界最大級」の住宅用プロキシ網であるIPIDEAへの対抗措置を公表しました。2026年1月の7日間だけで、550を超える脅威グループ（中国、北朝鮮、イラン、ロシアの攻撃者を含む）が、IPIDEAの出口ノード（中継に使われる家庭の機器）を悪用していたといいます。格安のTVボックスに、IPIDEAのソフトがあらかじめ入っていた例もあります。

Triada（2025年）：偽物スマホへの組み込み

Kasperskyのプレスリリース（2025年4月3日）によると、人気機種を装った偽物スマホのファームウェアにTriadaの新しい版が組み込まれており、世界で2600人を超える人が被害に遭いました。IT系ニュースサイトBleepingComputerによれば、集計期間は2025年3月13日〜27日で、暗号資産（仮想通貨）の被害は少なくとも27万ドルに上ります。

Kasperskyのドミトリー・カリーニン氏は、ユーザーの手に渡る前にファームウェアの段階で侵入しており、サプライチェーンの侵害を示しているという趣旨の発言をしています。Triadaの機能は、Telegram、WhatsApp、Instagramなどのアカウントの乗っ取り、メッセージの送信・削除、暗号資産ウォレットのアドレスのすり替えなどです。Kasperskyは「正規の販売店で買うこと」と「公式ファームウェアへの書き戻し」を勧めています。

同じ系統の犯罪グループとして、Lemon Groupも知られています。2023年にTrend MicroがBlack Hat Asia 2023で報告したもので、180か国以上、約50ブランドの機器が対象でした。「890万台に届く」という数字は、Lemon Group自身が自社サイトで宣伝していたものです。これらをあわせると、「安く売って、後から回線や情報で稼ぐ」というビジネスモデルができあがっていると言えます。

日本の状況：国内被害の実データ

総務省、警察庁、NICT（情報通信研究機構）は2026年7月21日、家庭用IoT機器（ネットにつながる家電など）を悪用するレジデンシャルプロキシ（住宅用プロキシ）について、実態をまとめたファクトシート「家庭用IoT機器を悪用するレジデンシャルプロキシの現状」を公表しました。主な内容は次のとおりです。

警察庁の分析では、2024年のインターネットバンキング不正送金のうち、犯行時にレジデンシャルプロキシが使われたものが少なくとも1,918件、被害額約28.9億円に及びます。これは被害件数全体の約44％、被害額では約33％にあたります。
2026年1月以降、1日あたり最大約2万7,000のIPアドレスが出口ノードとして観測されており、国内には少なくとも数万台規模のレジデンシャルプロキシがあると推定されています。
悪用される典型的な機器として、「テレビに接続して無料で国内外の動画を視聴できます」とうたうストリーミング機器が挙げられています。

同じ日に、官民の「レジデンシャルプロキシ対策アライアンス」の設立も発表され、第1回会合は9月7日に開かれました。

まとめ：狙われやすい機器の特徴

ここまでの事例から、狙われやすい機器の傾向が見えてきます。

主な標的は、非認証（AOSPベース）のTVボックス、格安タブレット、偽物スマホ、フォトフレーム、プロジェクター、後付けの車載機です。
一方でXCPEとKeenaduは、認証済みの機器や正規署名付きのOTA更新でも起こり得ることを示しました。
共通する背景は、多くのブランドに同じ基板とファームウェアを供給するODMのサプライチェーンです。

出荷時マルウェアがもたらすリスクの種類と大きさ

出荷時から入っている不正ソフトの被害は、「機器の調子が悪くなる」だけでは済みません。自宅の回線が犯罪に使われたり、家の中の別の機器が攻撃されたりと、影響は持ち主の外にまで広がります。リスクの種類を表にまとめました。

リスク	内容	利用者への影響	主な例
住宅用プロキシ化	自宅の回線が犯罪者の通信の中継に使われる	自宅のIPアドレスが不正送金や攻撃の発信元として記録され、警察の照会やサービスの利用停止につながり得る。回線が遅くなる	BADBOX 2.0、XCPE、Kimwolf、IPIDEA
広告詐欺	画面に出ない広告の表示や自動クリック	通信量や電力の無駄づかい。直接の金銭被害は小さい	BADBOX 2.0、Keenadu
情報の盗み出し	アカウント、SNS、画面の内容、キー入力	Googleアカウントやメッセージアプリが乗っ取られる	XCPE、Keenadu、Triada
家庭内LANへの侵入	感染機器を足場に、同じLANにあるパソコン、NAS（ネット接続の保存装置）、カメラを攻撃	被害がテレビ以外に広がる	Kimwolf
追加マルウェアの導入	裏口から別の不正ソフトを入れる	被害の中身が後から変わる	XCPE（十数種類）
（別の種類）プライバシーの問題	正規のテレメトリ（利用状況データの送信）や視聴履歴の収集	違法ではない場合が多く、規約と設定の問題	スマートTVのACR（後述）、メーカーのクラウド

特に押さえておきたいのは、次の2点です。

住宅用プロキシ化の被害者は、持ち主本人だけではありません。不正送金の被害者など他人にも被害が及び、しかも自宅の回線が「加害者側」に見えてしまいます。
ファームウェアに組み込まれた不正ソフトは、工場出荷状態へのリセットでは消えません。XCPEは/oem/領域から、Keenaduはシステムライブラリから復活します。

公的機関・セキュリティ企業の注意喚起と推奨

日本、米国、欧州・英国の公的機関や、Google、セキュリティ企業は、それぞれ注意喚起やルールづくりを進めています。共通しているのは、「怪しい売り文句の機器を避ける」「認証と更新を確かめる」という呼びかけです。

日本の取り組み

総務省・警察庁・NICT（2026年7月21日）：「無料で見放題」系のストリーミング機器、無料VPNアプリ、「使っていない通信帯域を共有して収益」をうたうアプリやサービスを使わないよう呼びかけています。提供元がわからないアプリを入れないこと、機器のファームウェアを更新することも求めています。
警察庁：XCPEの解体に参加しました（2026年11月）。購入者への注意喚起とあわせて、事業者にも取引先への警戒を呼びかける方針と報じられています。
IPA（情報処理推進機構）／経済産業省：IoT製品のセキュリティラベル制度「JC-STAR」の運用を2025年3月25日に始めました。★1（最低限の共通基準で、メーカーが自ら適合を宣言するもの）の適合製品リストを公開しています。★2以上は、通信機器とネットワークカメラから順に始まります。英国のPSTI法、シンガポールのラベル制度（CLS）とは★1のレベルで相互承認しています。ただし、テレビやTVボックスでの取得例はまだ少ないとみられるため、ラベルがないことだけで危険と判断する材料にはなりません。
総務省・NICT「NOTICE」：弱点のあるIoT機器を調べ、利用者に注意喚起する取り組みです。

米国の取り組み

FBI IC3（2025年6月5日、I-060525-PSA）：先に挙げた兆候に加えて、OS・ファームウェア・ソフトを最新に保つこと、非公式のアプリストアを使わないこと、家庭内のIoT機器と通信を点検すること、怪しい機器はネットワークから切り離すことを勧めています。
FCC（連邦通信委員会）：2026年3月23日、外国で生産された消費者向けルーターを「Covered List」（安全保障上のリスクがある機器のリスト）に加えました。国を限定せず、国防総省（DoW）または国土安全保障省（DHS）の条件付き承認がない新しいモデルには、機器の認証を与えません。既存モデルの販売とファームウェア更新は当面認められています。また、消費者向けのセキュリティ表示「U.S. Cyber Trust Mark」も2025年1月に始まりましたが、どこまで普及したかは確認できていません。

欧州・英国の取り組み

EUサイバーレジリエンス法（CRA、規則2024/2847）：2024年12月10日に発効し、2027年12月11日に全面適用されます。悪用された脆弱性（セキュリティ上の弱点）などをメーカーが報告する義務（第14条）は、2026年9月11日から適用されています。早期警告は24時間以内、本報告は72時間以内で、2027年より前にEU市場に出た製品も対象です。全面適用後は、セキュリティ要件を満たさない製品をEU市場で売れなくなります。
英国PSTI法：2024年4月29日に施行されました。スマートTVを含むネット接続製品に対して、共通の初期パスワードの禁止、脆弱性を報告できる窓口の公開、最低限のセキュリティ更新期間の明示を義務づけています。

Googleが示す確認方法

Play Protect認証は、次の手順で確認できます。Playストアでプロフィールアイコンを押し、「設定」→「概要（About）」→「Play プロテクト認定」と進み、「認定済みデバイス」と表示されるかを見ます。Playストアが入っていない機器や表示できない機器は、Googleの「Google Play 対応デバイス一覧」で機種を検索します。一覧になければ非認証です。

Googleの説明によると、非認証の機器は安全でない可能性があり、システム更新も受けられない可能性があります。テレビやボックスは、Android TV／Google TVのパートナー一覧（tv.google/partnersなど）でブランドを確認できます。

セキュリティ企業の推奨

Kaspersky：正規の販売店で買うことを勧めています。Keenaduについては、メーカーの修正ファームウェアを適用し、修正がなければその機器を使わないか、信頼できる別の機器に替えるよう求めています。Triadaについては、公式ファームウェアを書き直すよう勧めています。
HUMAN、TrendAI、Plume：XCPEに感染した機器をきれいにするには、メーカーの対応、プラットフォーム側の保護、機器の買い替えのいずれかが必要だとしています（TrendAI）。Plumeは完全な初期化を勧めていますが、ファームウェアに組み込まれた本体はそれでは消えない点に注意が必要です。

一般ユーザーができる具体的な対策

対策で最も効果が大きいのは「買う前」の段階です。すでに使っている機器は、ネットワークを分けて被害が広がらないようにし、怪しいと感じたらすぐに切り離します。段階ごとに見ていきます。

購入前のチェック（効果が最も大きい段階）

Google認証の機器を選ぶ：パッケージに「Google TV」「Android TV」の正式ロゴがあり、Googleの対応デバイス一覧やパートナー一覧に載っているものを選びます。「Android 12 TV Box」のように「Android」を名乗るだけの機器は、AOSPベースで非認証であることが多いです。
「無料で全チャンネル」「ロック解除済み」「Play Protectを切って使う」をうたう機器は買わない：FBIも総務省・警察庁も、こうした宣伝文句を最大の危険信号に挙げています。著作権の面でも違法の疑いがあります。
技適マークを見る：技適（電波法の技術基準適合証明）は電波の基準に合っていることを示すもので、ソフトの安全性は保証しません。それでも、技適がない機器は正規の流通ではない可能性が高いので、最低限の目安になります。
販売ルートを選ぶ：メーカーの公式ストアや大手量販店を選びます。通販サイトのマーケットプレイスで、ブランドが聞いたことのない名前、販売者が頻繁に変わる、相場より極端に安い、といった機器は避けます。偽物スマホのTriada被害は、まさにこの販売ルートで起きました。
メーカーの更新実績を確かめる：セキュリティパッチの更新履歴、サポート窓口、日本法人の有無を確認します。Keenaduでは、日本に窓口があるメーカーほど公式の対応が速い傾向が見られました。
JC-STARラベルを見る：取得していれば加点材料になります（まだ少数です）。

使用中にできる対策

認証状態を確認する：Playストアの「概要」で「認定済み」になっているかを見ます。
ファームウェアを更新する：メーカー正規のOTAを適用します。ただしKeenaduのように、OTAそのものが感染経路になった例もあるため、更新の前後で不審な動きがないかも見てください。
ネットワークを分ける：テレビ、ボックス、格安タブレットは、ルーターのゲストWi-Fi（端末どうしの通信を禁止する「隔離」設定をオンにする）か、IoT用のVLAN（論理的に分けたネットワーク）につなぎます。パソコン、NAS、スマホとは別にしてください。Kimwolfのような家庭内LANへの侵入を防ぐうえで、最も費用対効果の高い対策です。
DNSフィルタリングを使う：NextDNS、AdGuard DNS、Pi-holeなどをルーターに設定し、既知の悪い宛先や追跡用の宛先への通信を止めます。記録（ログ）を見れば、見慣れない宛先への頻繁な通信にも気づけます。ただし、IPアドレスを直接指定する通信や、暗号化DNS（DoH）を自前で持つ不正ソフトは素通りする点に注意が必要です。
通信量を確認する：ルーターの端末別の通信量を見て、テレビを見ていない時間帯に大量の送信（アップロード）がないかを確かめます。住宅用プロキシ化の典型的な兆候です。
使わないときは主電源を切る：待機中も通信するので、主電源を切るのが確実です。
アカウント連携を最小限にする：格安の機器にはメインのGoogleアカウントでログインしない、パスワードを使い回さない、2段階認証を必ず設定する、の3点を守ります。
ADBやUSBデバッグを無効にする：「開発者向けオプション」が有効になっていれば切ります。Kimwolfの侵入経路だからです。
非公式のアプリストアを使わず、Play Protectを有効にしておく。

感染が疑われるときの対応

次のような兆候があれば、感染を疑ってください。

勝手にアプリが入る、Play Protectが勝手にオフになる
見ていないのに通信量が多い、本体が熱い、動作が重い
連携したアカウントに不審なログインがある
Kasperskyのスキャンで検出される（Dr.Web Lightで検出した例も報告されています）

対応の手順は次のとおりです。

すぐにネットワークから外します（LANケーブルを抜く、Wi-Fiの設定を消す）。
その機器でログインしていたアカウントのパスワードを、別の安全な端末から変更し、ログイン中のセッションを無効にします。
メーカーの修正ファームウェアがあれば適用します。なければ、使用をやめるか廃棄します。初期化だけでは不十分です。
相談窓口（後述のチェックリスト参照）に連絡し、必要なら警察にも相談します。

「中華製＝危険」という噂は本当か

結論から言うと、この噂は大筋では正しくなく、半分だけ当たっています。被害の中心は中国で作られた機器ですが、根本の原因は国籍ではなく、「安い機器を後から収益化するビジネスモデル」と「誰が書いたかわからないファームウェア」にあります。

被害を出しているのは無名ブランドとODMの領域

BADBOX 2.0、Vo1d、Kimwolfは、ほぼすべてが非認証のノーブランド機器でした。XCPEはODMそのもの、Keenaduは格安タブレットに共通するファームウェアの供給網で起きています。いずれも製造国は中国ですが、原因は先ほどの2点です。

一方で、大手（Xiaomi、Lenovo、TCL、Hisenseなど）のGoogle認証機器では、今回調べた範囲で、出荷時から組み込まれたボットネットの事例は確認できませんでした。大手は、Googleとのライセンス契約、各国の規制、ブランドの評判という強い歯止めを背負っているからです。ただしXCPEが示したように、認証そのものは絶対的な保証ではありません。

マルウェアとは別の「プライバシーの問題」

マルウェアとは別に、プライバシーの問題は切り分けて考える必要があります。

Xiaomiのスマホの件：2021年9月、リトアニア国防省の国家サイバーセキュリティセンター（NCSC）が報告を出しました。Mi 10T 5Gのシステムアプリ（ブラウザなど）が、「Free Tibet」などの検閲キーワードのリスト（2021年4月時点で449語）を定期的に受け取っていたという指摘です。EU地域では機能が無効でしたが、遠隔で有効にできるとしました。Xiaomiは一部の評価に異議を唱え、第三者の専門家による検証を表明しています。これはスマホの話で、テレビやバンドでは確認されていません。
スマートTVのACR（自動コンテンツ認識）：画面の映像や音声を照合して、何を見ているかを記録する機能です。テキサス州司法長官は2025年12月15日、Sony、Samsung、LG、Hisense、TCLの5社を州の消費者保護法違反で提訴しました。Hisenseには12月17日、Samsungには2026年1月6日に、一時的な差し止め命令が出ています。その後、Samsungは明示的な同意なしにACRデータを集めないことで和解し、LGも2026年5月に同様の内容で和解したと州司法長官が発表しています。提訴された5社のうち3社は日本・韓国のメーカーで、ACRは「中国製」に限らない業界全体の問題です。Xiaomiは提訴の対象になっていません。
中国の国家情報法（2017年）：第7条は、組織と市民に「国家の情報活動への支持・協力」を求めています。これが、中国企業は政府の要請を法的に拒みにくいという懸念の根拠です。現実のリスクは、扱うデータの重要さと、保存場所（Xiaomiの場合、日本などのデータはシンガポールのデータセンターと説明）によって変わります。一方で、米国のクラウド法（CLOUD Act）のように、他国にも政府がデータにアクセスできる法制度はあります。

公平に見ると何を優先すべきか

テレメトリや視聴データの収集は、Google、Amazon、Samsung、LG、Roku、そして多くの国産テレビでも行われています。違いは主に、「法の支配や裁判による救済の仕組み」と「透明性」です。官公庁のように高い機密性が求められる環境を除けば、一般家庭で優先すべきなのは「国籍」ではなく、認証の有無、販売ルート、更新実績、ネットワークの隔離です。

具体例：Xiaomi TVとスマートバンドの安全性を評価する

ここでは、Xiaomi製の43インチ4Kテレビ（A Pro系とみられる機種）と、Xiaomiのスマートバンドを使っている場合を例に、リスクと対策を具体的に評価します。結論は、マルウェアのリスクは低く、プライバシー面は一般的なスマートTVと同程度です。

Xiaomi TV（43インチ4K、A Pro系）の評価

まず認証の状況です。日本で売られているXiaomi TV A Pro（2023年のau専売モデル、2025年モデル、2026年モデル）の公式仕様では、OSは「Google TV」と書かれています。2025年モデルの43型は、Cortex-A55（4コア）、RAM 2GB、ROM 8GB、Wi-Fi 5、Bluetooth 5.0です。

Google TVのブランド、Playストア、Googleアシスタントは、Googleのライセンス（認証）を受けた機器にしか搭載できません。またGoogleのパートナー一覧にもXiaomiが載っています。したがって、認証済みのGoogle TV機器と判断して差し支えありません。ただし、機種ごとの認証記録は確認できませんでした。手元のPlayストアで「概要」→「Play プロテクト認定」を見るのが確実です。

既知の問題としては、次の点があります。

Xiaomi TVにマルウェアが混入したという公表例は、調べた範囲では見当たりません。
プライバシーの面では、Xiaomi TVのプライバシーポリシー（グローバル版）に、シリアル番号、MACアドレス（機器ごとの識別番号）、アプリの利用状況、ログを集め、シンガポールのデータセンターに移すことがあると書かれています。
Google TVとしての視聴データは、Googleのポリシーの下でも扱われます。

評価をまとめると、マルウェアのリスクは「低い」（ノーブランドのボックスと比べて桁違いに低い）、プライバシー面の情報送信は「中程度」で、一般的なスマートTVと同じくらいです。

NetGuardの仕組みと限界

NetGuardは、AndroidのVPN機能（VpnService）を使い、端末の通信をいったん自分自身に向けて、アプリ（UID＝アプリごとの利用者ID）単位で許可・遮断するアプリです。外部のVPNサーバーには送らず、root権限も必要ありません。

ただし、作者の公式FAQなどによると、次のような限界があります。

起動直後は守れない：作者は、Androidが許可してから起動するため、起動の初期は保護されないと明言しています。対策として「再起動前にWi-Fiを切り、鍵アイコンが出てからつなぐ」ことを勧めていますが、テレビを毎回これで使うのは現実的ではありません。
VPNの再起動中にすき間ができる：接続状態が変わったときや画面がオン・オフしたときにVPNが張り直され、その間に通信が漏れることがあります。「Seamless VPN handover」という設定で軽くできますが、機種によっては不安定です。
公式にはテレビ非対応：FAQには、スマホとタブレットのみのサポートで、テレビなどは対象外と書かれています。
system権限・root権限を持つ不正コードには原理的に無力：XCPEのように、system権限でコマンドを実行できる不正ソフトは、VPNの設定を変える、通信経路（インターフェース）を直接指定するなどして、VPN方式のファイアウォールを回り道したり止めたりできます。Keenaduのように全アプリの中に入り込む型は、「許可したアプリ」（例：YouTube）の中から通信できます。ファームウェアに入り込んだマルウェアに対して、NetGuardは「抑止」にはなっても「保証」にはなりません。
一部のシステム通信はVPNを通らない：接続確認などの一部の通信やWi-Fi通話は、VPNの外を通ることがあります。Androidの不具合で、DNSの問い合わせがVPNの外に漏れる問題も報告されています。
他のVPNと同時に使えない：SOCKS5という方式を使った連携だけが可能です。

まとめると、認証済みのXiaomi TVで「Googleやメーカーのテレメトリを減らす」目的なら一定の効果があります。ただし、「確実に遮断している」という前提は置かない方が安全です。

スマートバンドとMi Fitnessアプリ

スマートバンドはBluetooth Low Energy（BLE、省電力の近距離無線）でスマホとだけ通信し、インターネットへの送信はスマホのMi Fitnessアプリが行います。ですから、対策の要はスマホ側です。

Mi Fitnessは通常のアプリ（システムアプリではない）なので、NetGuardの遮断が効きます。この点では、テレビより遮断が効きやすい組み合わせです。ただし、遮断するとクラウドへの同期やバンドのファームウェア更新も止まります。初回のペアリングやアカウントの認証では通信が必要です。

既知の問題としては、次の2点があります。

2022年にスイス連邦工科大学ローザンヌ校（EPFL）の研究チームが発表した「BreakMi」では、Mi Band 2〜6と旧Mi Fitアプリで、無線の盗聴やなりすましによって健康データを読み書きできる弱点が示されました。これは旧世代の話で、Band 10世代では確認されていません。
XiaomiのIoTプライバシー白書では、日本を含む「その他地域」のMi Fitnessのデータは、シンガポールのAlibaba Cloudに保存されるとされています。

おすすめの設定は次のとおりです。

Mi Fitnessの権限（位置情報、連絡先、通知へのアクセス）は必要な分だけにします。
通知の転送は、必要なアプリだけに絞ります（通知の本文がバンドに送られるためです）。
Bluetoothは、ペアリングの後に「検出可能」をオフにします。
XiaomiアカウントはGoogleアカウントと別のパスワードにして、2段階認証を設定します。

より確実な手段との比較

テレビを守る方法を、効果と手間で比べると次のようになります。

方法	テレビのマルウェア・テレメトリへの効果	手間	評価
NetGuard（テレビ本体）	部分的（起動直後やsystem権限の通信は漏れうる）	中	補助的
ルーターのゲストWi-Fi（端末間の隔離あり）	家庭内LANへの侵入を防ぐ。外への通信は止めない	低	強く推奨
DNSフィルタリング（NextDNS、AdGuard DNS、Pi-hole）	追跡用や既知の悪い宛先を遮断。IP直接指定やDoHは素通り	低〜中	推奨
ルーターのファイアウォールでテレビの外部通信を全面遮断	ほぼ完全（OSの中で何が起きても外に出られない）	中	推奨
テレビをネット非接続にし、HDMIで外部機器（Google TV Streamer、Fire TV、Apple TVなど）を使う	本体からの送信はゼロ。本体の更新も不要	低	最も確実

外付けする機器の候補には、それぞれ次のような性格があります。

Apple TV：プライバシーへの姿勢が比較的はっきりしていて、更新期間も長いです。
Google TV Streamer：Googleのアカウントやデータの扱いを受け入れることが前提です。
Fire TV：Amazonの広告やおすすめ表示と強く結びついています。

いずれも大手の認証済み製品で、ノーブランドのボックスより格段に安全です。おすすめは、テレビ本体はWi-Fi設定を消して「モニター」として使い、動画配信は外部機器に任せる方法です。どうしてもテレビ本体のアプリを使うなら、ゲストWi-Fi、DNSフィルタリング、NetGuardの三重の構えにしてください。

優先度付きチェックリスト

最後に、ここまでの対策を優先度順のチェックリストにまとめます。購入前の確認が最も大切で、使用中は「ネットワークの隔離」と「アカウントの守り」が優先です。

購入前（優先度：最高）

Google TV／Android TVの正式ロゴがあり、Googleの対応デバイス一覧に載っている
「無料で全チャンネル」「ロック解除済み」「Play Protectを無効に」といった宣伝文句がない
公式ストアか大手量販店で買う。極端な安値の無名ブランドは避ける
技適マークがある。日本法人やサポート窓口、更新の実績がある
（あれば）JC-STARラベルがある

使用中（優先度：高 → 中）

【高】テレビ、ボックス、格安タブレットは、ゲストWi-Fi（隔離オン）かIoT用のVLANにつなぐ
【高】Playストアの「概要」でPlay Protect認定を確認し、Play Protectを有効のままにする
【高】格安機器にはメインのアカウントでログインしない。2段階認証を設定し、パスワードを使い回さない
【中】ルーターにDNSフィルタリング（NextDNS、AdGuard DNS、Pi-hole）を設定し、ログを時々見る
【中】見ていない時間帯の通信量（特に送信）を確認する
【中】使わないときは主電源を切る。開発者向けオプションとADBはオフにする
【中】メーカー正規のファームウェア更新を適用し、Keenaduのような告知を確認する
【任意】テレビはネットにつながず、外部のストリーミング機器を使う

万一のとき

すぐにネットワークから外す
別の端末から、関係するアカウントのパスワードを変えてセッションを無効にする
メーカーの修正を待つか、使用中止・廃棄する（初期化だけでは消えない）
IPA 情報セキュリティ安心相談窓口（電話03-5978-7509、またはWebフォーム）：技術的な相談
消費者ホットライン188（最寄りの消費生活センター）：返品・返金や販売業者とのトラブル
都道府県警察のサイバー犯罪相談窓口（警察相談専用電話 #9110）：不正送金やアカウント乗っ取りなどの実害があるとき、または自宅の回線が悪用された疑いがあるとき

まだはっきりしていない点

2026年11月時点で、次の点は確認できていません。今後の発表で変わる可能性があります。

調べた範囲では、XCPEの感染機種一覧（MECOOL以外のブランド）は完全には公表されていません。手持ちのボックスの製造元（ODM）がわからない場合は、「非認証なら使わない」を基準にしてください。
XCPEで「Google認証機器」が何台含まれていたかは、Googleが公表していません（Plumeの説明のみです）。
Keenaduの影響ブランドの一部（Hitabt、aiwaなど）は利用者の報告に基づくもので、メーカーの公式確認ではありません。Headwolfの修正配信が完了したかどうかも確認できませんでした。
Xiaomi TV A Proの機種ごとのGoogle認証記録は、公開された形では確認できませんでした。Google TVを搭載していることからの推定です。
テキサス州のACR訴訟では、Sony、Hisense、TCLとの裁判が続いていると報じられています。
NetGuardがsystem権限の不正コードに回り道されうるという点は、Androidの仕組みから導いた技術的な推論です。XCPEがNetGuardを回避したという実証報告があるわけではありません。

よくある質問

中国製のテレビやスマホは使わない方がいいですか？

一律に避ける必要はありません。大規模な被害が確認されたのは、非認証のノーブランド機器やODM由来のファームウェアを積んだ機器が中心で、大手メーカーのGoogle認証機器では、出荷時から組み込まれたボットネットの事例は確認されていません。国籍よりも、認証の有無、販売ルート、更新実績を確認することが大切です。

工場出荷状態に初期化すれば、不正ソフトは消えますか？

ファームウェアに組み込まれた不正ソフトは、初期化では消えません。XCPEは/oem/領域から、Keenaduはシステムライブラリから復活します。メーカーの修正ファームウェアを適用するか、修正がなければ使用をやめることが勧められています。

手持ちのAndroid機器がGoogle認証済みかどうか、どうやって確かめますか？

Playストアのプロフィールアイコンから「設定」→「概要」→「Play プロテクト認定」と進み、「認定済みデバイス」と表示されるかを見ます。Playストアがない機器は、Googleの「Google Play 対応デバイス一覧」で機種を検索し、載っていなければ非認証です。

自宅の回線が住宅用プロキシに使われているか、見分ける方法はありますか？

ルーターで端末ごとの通信量を確認し、テレビを見ていない時間帯に大量の送信（アップロード）がないかを見るのが手がかりになります。DNSフィルタリングのログで、見慣れない宛先への頻繁な通信がないかを見るのも有効です。疑わしい場合はすぐにネットワークから外し、IPAの相談窓口などに相談してください。

NetGuardを入れておけば、テレビは安全ですか？

一定の効果はありますが、安全を保証するものではありません。起動直後やVPNの張り直し中には通信が漏れることがあり、system権限を持つ不正ソフトには回り道される可能性があります。公式にもテレビは対象外のため、ゲストWi-Fiでの隔離や、テレビをネットにつながず外部機器を使う方法の方が確実です。

まとめ

2025〜2026年に相次いだXCPE、BADBOX 2.0、Vo1d、Kimwolf、Keenaduなどの事件は、「安く売って、後から回線や情報で稼ぐ」という仕組みが世界中に広がっていることを示しました。日本でも、2024年のネットバンキング不正送金の約44％で住宅用プロキシが使われていたことが、警察庁の分析で明らかになっています。

一方で、本当に見るべきなのは「中国製かどうか」ではありません。覚えておきたいのは、次の4つです。

Google認証があるか
正規の販売ルートで買ったか
メーカーが更新を続けているか
家庭内のネットワークを分けているか

まずは今日、自宅のテレビやボックス、タブレットのPlayストアを開き、「Play プロテクト認定」が「認定済みデバイス」になっているかを確かめてみてください。非認証だった場合は、ゲストWi-Fiへのつなぎ替えか、使用の中止を検討しましょう。