グーグル、Plume、TrendAI™、Lumen、HUMAN Security、Synthientおよび日本の国家警察庁が協調行動を展開し、セキュリティ研究、脅威インテリジェンス、ネットワーク専門知識を活用して、X.CPEボットネットを特定・撲滅します。
アメリカ合衆国カリフォルニア州マウンテンビュー、2026年11月2日／PRNewswire／— 本日、民間および公共部門の複数のパートナーが、X.CPEの除去を協調して実施したことを発表しました。X.CPEは、世界200カ国以上にまたがる130万台以上のセットトップボックスに隠れ潜んでいたグローバルなボットネットです。この悪意のあるプログラムは、デバイスが販売される前に既に組み込まれており、ユーザーの知らないうち、または同意を得ずに、サブスクリプション利用者のデバイスと家庭のインターネット接続を悪用していました。今回の除去作業は、Google、Plume、TrendAI™、Lumen、HUMAN Security、Synthientが主導し、日本警察庁の協力を得て実施されました。
Googleの脅威インテリジェンスグループのアクション責任者であるCharley Snyderは、「このような行動は犯罪者のコストを引き上げ、彼らが依存するインフラが手の届かないものではないことを示している。X.CPEを削除するには、業界パートナーとの協力が不可欠である。これは、国境や業界を越えた脅威に対抗するための最も強力なツールの一つが協力であることを証明している。」
なじみのあるデバイスに、未知の脅威が潜んでいる
X.CPEは、デバイスの基本的な動作を制御するファームウェアに組み込まれており、セットトップボックスがサブスクライバーの自宅に届く前にすでに埋め込まれています。X.CPEは、上市前のセキュリティチェックを回避するように設計されており、その後、Googleはこの状況を受けて審査プロセスを更新し、関連する元の機器メーカー（OEM）およびその今後のすべての子会社または関連会社が、Googleアプリをプリインストールしたデバイスの製造を禁止しました。この脅威は、ユーザーが疑わしい添付ファイルを開いたりアプリをインストールしたりすることに依存する感染とは異なり、デバイス自体の一部として届きます。サブスクライバーは、同意リクエスト、通知、またはオプトアウトの選択肢を一切受けていません。
グーグル、Plume、TrendAI™、Lumen、HUMAN Security、Synthientは、日本の国家警察庁の協力のもと、X.CPEに対して協調的な対策を実施しました。各機関は、ネット接続デバイスのセキュリティ、マルウェア分析、ネットワーク可視性、デジタル詐欺に関する専門知識を活用し、このボットネットの分析と運用の破壊を行いました。
これらの機関は、通常のデバイスの活動に隠された脅威を排除しました。それは、テレビセットトップボックスに組み込まれたソフトウェアが、ボットネットの管理者にリモートアクセスを提供し、サブスクリプションユーザーの同意なしに家庭のブロードバンド接続を悪用できるようにしていたものです。この除去作業により、犯罪関連団体が運営する悪意のあるモジュールのコマンド＆コントロールドメインも無効化されました。これらの関連団体はX.CPE以外のチャネルを通じてモジュールを配布しているため、Googleは、これらのドメインを停止することで、さらに1,000万台以上の感染したデバイスへのアクセスを遮断できると判断しています。
この行動は、技術的およびネットワークの境界を越える脅威に対応するため、組織間の情報を連携することが不可欠であることを示している。パートナー各社は、感染したデバイス、マルウェア、インターネットトラフィックに関する異なる視点を統合し、不正アクセスと収益化の撲滅を図るとともに、サブスクリプションユーザーのプライバシー、ブロードバンドリソース、および接続されたデバイスへの信頼性に及ぼすリスクに対処するため、この調整された除去作業を支援した。
無許可で家庭用ブロードバンドをビジネス化する
このボットネットは、帯域幅の転売、動画コンテンツの配信、広告詐欺、追加のバックドアの読み込み、および初期バージョンでの有料アプリのインストールを通じて、感染したデバイスから収益を上げています。
サービスプロバイダーにとって、これらの発見は、デバイスの日常的な動作からは現れないサプライチェーンリスクを浮き彫りにしています。正常に動作するストリーミングボックスでも、説明できないトラフィックを生成し、ブロードバンドサービスへの信頼を損なう可能性があります。
補完的な専門能力と調整された行動
パートナーは、グーグル主導のX.CPE除去作業を支援しました：
- TrendAI™：TrendAI™ネット犯罪研究ディレクターのロバート・マカードルは、「Googleがこの脅威を即座に排除した行動を称賛します。我们的研究识别出超过130万台设备受到此次活动影响。这意味着数百万家庭和企业完全不知道，他们的设备正在被当作活跃犯罪活动的附属工具——无论是欺骗广告商，还是通过住宅代理借用其连接来实施其他攻击——这通常还会包括冒充其所在地区人员进行身份盗窃。谷歌和研究伙伴的这一行动显著拖慢了这些攻击者，如果他们试图重建，我们的TrendAI研究将持续密切关注。」
- HUMAN：HUMANの最高情報セキュリティ責任者であるガビン・リードは、「感染したデバイスネットワークが維持されているのは、利益によるものです。運営者は、ユーザーの同意なしにデバイスや家庭の接続を制御し、プロキシサービスやさまざまな不正行為を通じてこのアクセスを収益化しています。今回の行動が示すように、集団的な協力により、収益化に必要なインフラを切断し、これらのネットワークを運営するコストを上昇させ、その背後にあるインセンティブを弱めることができます。」
- Synthient：SynthientのCEO、ベンジャミン・ブルンデージは、「不正なクリック単価ネットワークは、直接的な広告詐欺から未規制のエージェントネットワークに至るまで、より広範な詐欺エコシステムの重要な基盤を提供しており、これらのネットワークはクレデンシャルスタッフィングやDDoSボットネットを促進している。X.CPEの除去は、この分野全体の保護に寄与するとともに、このプログラムの被害者となり、無実の消費者を守るのに貢献する。」
研究とリソース：
- Google: https://cloud.google.com/blog/topics/threat-intelligence/shutting-the-door-on-the-xcpe-botnet
- Plume：http://www.plume.com/xcpe-botnet-whitepaper-pdf
- TrendAI™: https://www.trendaisecurity.com/en-us/resources-insights/trendai-security-blog/trendaitm-research-helps-disrupt-android-tv-botnet-of-more-than-13-million-pre-infected-devices
Plumeについて
TrendAI™について
TrendAI™は、Trend Microの子会社であり、グローバルなAIセキュリティのリーダーで、企業向け部門です。組織がAIの完全な可視性、ガバナンス、統合セキュリティを実現し、信頼性を高め、イノベーションを推進し、リスクを排除するのを支援します。TrendAI™は、185カ国の大手企業および政府機関に信頼され、IDからインフラ、データに至るまで組織全体を保護します。世界のフォーチュン500企業は、世界最高水準の脅威および攻撃インテリジェンスを活用し、TrendAI™によって脅威の検出を最大115日早期化しています。詳細については、trendaisecurity.comをご覧ください。
ルーメンについて
Lumen Technologiesは、そのネットワークとテクノロジーサービスを通じて、人々とデータ、アプリケーションを接続しています。同社のBlack Lotus Labs脅威研究・運用チームは、グローバルなネットワーク可視性を活用して悪意のある活動を特定し、脅威インテリジェンスを生成し、企業とインターネットの保護を支援しています。詳細については、Lumen Technologiesをご覧ください。
HUMANセキュリティについて
HUMAN Securityは、自動化された脅威、不正、乱用を検出しブロックすることで、デジタル体験を保護するためのソリューションを組織に提供します。その技術と脅威インテリジェンスは、企業とプラットフォームがデジタルなやり取りを検証し、顧客のジャーニーにおいて信頼を構築するのに役立ちます。詳細については、humansecurity.comをご覧ください。
Synthientについて
Synthientは、住宅プロキシ、VPN、ボットネットインフラを特定するためのインテリジェンスを提供し、組織がトラフィックリスクを評価し、悪用行為を調査するのを支援します。同社の研究者は、プロキシネットワーク、ボットネット、攻撃者インフラを分析して新興脅威を明らかにしています。詳細はSynthientをご覧ください。