「Videostrong」という聞き慣れない社名がニュースに並び、「テレビにつないでいるあの箱は大丈夫？」と気になった方も多いと思います。筆者の家のテレビにも大手のストリーミング端末がつながっていて、「うちのは大丈夫かな」と思いました。
結論から言うと、Googleも警察庁も、製品や型番の一覧を公表していません。手がかりになるのは、研究者のSynthientが観測して公開した182の型番です。そこにはKM2やKM7など、MECOOLの製品名と同じ文字列が並びます。一致したら、ネットから外して使うのをやめる。これが筆者の線引きです。
この記事は、2026年11月7日時点の公開情報をもとにしています。
まもる
しろ- Googleと警察庁が公表したこと、していないこと
- Synthientが観測した182型番の読み方と、一致の意味
- 自分の端末の型番を確かめる手順
- Fire TV・Chromecast・テレビ本体の扱い
- 型番が一致したときの線引きと、やる順番
Videostrongの公式の製品一覧は公表されていない
「videostrong 製品 一覧」で探しても、公式の一覧は見つかりません。Googleの発表にはブランド名も型番もなく、「多数のデバイスモデルやブランド」に組み込まれていたと書かれているだけです。分かることと分からないことを、出どころごとに分けました。
| 出どころ | 分かること | 分からないこと |
|---|---|---|
| Google（日本語版は11月4日付） | 130万台超のセットトップボックスなどにバックドア「XCPE」。Videostrongが金銭目的で開発・運用したと評価。指令用のサーバーを停止し、同社を認定端末の製造から締め出した | ブランド名、型番 |
| 警察庁（11月4日） | 福岡県警が令和7年9月、不正送金事件の捜索で、不正なアプリが混入したIoT機器を発見。製造・販売状況を調べてGoogleへ情報提供 | 型番、確かめ方。購入者への呼びかけは資料になし |
| 研究者のSynthient | 観測された型番の文字列182件 | 一致した端末が本当に感染しているか |
社名で探しても見つかりにくいのには、理由があります。Videostrongは、他社の製品の製造を請け負うOEM／ODMの企業です（Google Threat Intelligence）。店頭の商品名に、社名が出るとは限りません。
販売については、世界各地の量販店やネット通販で売られていたと報じられています（時事通信）。日本国内の感染台数は、確認した資料には出ていません。
Synthientが観測した182型番の読み方
Synthientは、観測した型番の文字列を公開しています（Synthient の調査資料）。メーカーが認めた対象製品の一覧でも、感染が確定した端末の一覧でもありません。全部は載せきれないので、見分ける手がかりになる分を抜き出しました。
| 種類 | 一覧にある文字列の例 |
|---|---|
| MECOOLの製品名と同じ形 | KM1、KM2、KM2PLUS、KM2PLUSDELUXE、KM3、KM6、KM7、KM7PLUS、KM7SE、KM8、KM9、KM9PRO、KM9PRO_MAX、KD1、KD2、KD3、KD5 |
| 名前のない汎用の表記 | 4K_Android_TV_Box、4K_Google_TV_Box、4K_Google_TV_Stick、TV_Stick、mbox |
| そのほかの例 | TX3MINI、M8S_PLUS、S905、SHOWBOX |
MECOOLの名前が出てくるのは、Synthientが実機で見つけたからです。2025年末に買ったKM9PRO Maxに、このプログラムが入っていました（BleepingComputer）。Synthientは、MECOOLブランドの機器がVideostrongのバックドアを同梱していたと結論づけています（Krebs on Security）。Googleの発表が名指ししているのはVideostrongです。ブランドの権利関係や、販売会社と製造会社の関係までは確認できていません。
MECOOL KM2とKM2 Plus Deluxeは、Amazon.co.jpにも商品ページがありました（11月7日に確認）。日本の読者にとって、海の向こうの話とは言い切れません。
読むときの注意は2つあります。
- 一致しても、感染とは限りません。Synthient自身が、型番だけでは感染を確定できないと書いています
- 一致しなくても、安全とは限りません。これは観測された分の一覧です。TrendAIの調査では147万2,554台・206機種と数えられていて、集計の時点で差が出ると説明されています（TrendAI）
自分の端末の型番を確かめる手順
テレビの前で5分あれば確かめられます。順番は次のとおりです。
- テレビのHDMI端子に、何がつながっているかを見る
- 型番を読む。本体のシール、箱、説明書のどれかに書かれている
- 電源が入るなら、設定の「デバイス」や「システム」の中にある「デバイス情報」も見る。画面の名前は機種で違う
- Synthient の調査資料を開いて、Backdoored Device Modelsの欄を探す。一覧はスペースなしで書かれているので、「KM2」のように短く検索する
ここで頼りにしないでほしいのが、「Google認定」の表示です。Videostrongは認定を受けたメーカーでした（The Next Web）。Googleも、テストの隙を突いて、初回起動の後に悪性コードを読み込んでいたと説明しています。
Fire TV・Chromecast・テレビ本体・スマホはどうか
Synthientの182件の文字列と照らしました（Synthient の調査資料）。Fire TV StickやChromecast、主要なテレビメーカーの名前は見当たりません。ただ、これは照合の結果で、各メーカーの全製品の安全を保証するものではありません。
| 端末 | 一覧で確かめた結果 | 読み方 |
|---|---|---|
| Fire TV Stick | 「Fire」「AFT」の文字列なし | 今回の件で名前は挙がっていない |
| Chromecast | 「Chromecast」の文字列なし | 同上 |
| ソニー、シャープ、東芝、パナソニック、ハイセンス、TCLのテレビ | メーカー名・ブランド名の文字列なし | 同上 |
| スマホ | 確認した資料に記載なし | Googleが挙げたのは、大半がTV用の端末。ほかに遠隔医療機器、カラオケ機器、デジタルサイネージ |
一覧には「Google」の文字が入った型番が3件あります（Synthient の調査資料）。4K_Google_TV_Boxのような汎用の表記で、Googleの製品名ではないと読むのが自然だと思います。
別の注意もあります。警察庁・総務省・NICTは、「テレビに接続して無料で国内外の動画を視聴できます」などとうたう機器を使わないよう呼びかけています（7月21日の資料）。相場より安い不審な製品も同じです。型番にかかわらず、避けるのが無難です。
型番が一致したときの線引き
筆者の線引きは、「確かめられないものは、使い続けない」です。状況ごとに分けると、次のようになります。
| 状況 | 読み方 | やること |
|---|---|---|
| 型番が一覧に一致 | 感染は確定しない。ただ、確かめる手段も消す手段もない | ネットから外し、使うのをやめて買い替える |
| 型番が分からない無名の箱、無料で見られるとうたう端末 | 判定する材料がない | 同じ扱いにする |
| 一覧にないが、無名・格安の箱 | 安全とは言えない | 買った店やメーカーの案内を確かめる。長く使うなら買い替えも考える |
| 大手の端末、テレビ本体 | 名前は挙がっていない | 更新を有効にして、そのまま使う |
買い替えまで踏み込むのは、利用者にできることがないからです。Googleによると、このプログラムは利用者には削除できず、アンインストールしても再起動で戻ります。止まったのは指令用のサーバーで、端末の中のプログラムは残っています。TrendAIも、片付けにはメーカーの対応、プラットフォーム側の保護、端末の買い替えのどれかが要ると説明しています（TrendAI）。公式の修正版は、確認した範囲では見つかりませんでした。
もちろん、デメリットもあります。買い替えの費用がかかりますし、感染していない端末を手放すことになるかもしれません。正直もったいないのですが、調べようのない箱をつなぎ続けるよりはましだと考えています。
やる順番
- 電源を抜くか、Wi-FiとLANから外す
- 別の端末で、その箱でログインしていたサービスのパスワードを変える（Google、動画配信、決済）
- 各サービスの「ログイン中の端末」から、その箱を外す
- フリマアプリで売らない。人に譲らない
- 買った店に、返品や交換の扱いを問い合わせる
Googleは、画面のキャプチャやキー入力、アカウント情報やログの持ち出しが行われた例も確認しています（Google）。パスワードそのものが盗まれたという報告は、確認した資料にはありません。ただ、アカウント情報が漏れた可能性を考えて、変えておくのが安全です。買った店の対応は、確認できていません。
工場出荷状態に戻す方法は、頼りにしないほうがよさそうです。Googleが説明しているのは、アンインストールしても再起動で /oem/ の領域から戻ることです。工場出荷状態に戻して消えるかどうかは、公式の資料に書かれていません。出どころの分からないファームウェアを入れ直すのも、別の危険があるので勧めません。
気をつけたい点
家の回線が、他人の通信の出口になる
今回の悪用の1つが、「レジデンシャルプロキシ（住宅用プロキシ）」です。感染した端末が、他人の通信を中継します。通信先には自分の家のIPアドレスが記録されるので、利用者自身が攻撃者と疑われる危険があります。家の中の別の機器へ入り込まれる危険も指摘されています（警察庁・総務省・NICT）。
XCPEに限らない数字ですが、住宅用プロキシは国内に少なくとも数万台以上あると推定されています。令和6年のネットバンキング不正送金でも、少なくとも1,918件で使われていました（同じ資料）。
こわいのは、テレビはふつうに映り続ける点です。動作がおかしくなくても、白とは言えません。
「回線を貸すとお金がもらえる」アプリにも注意
Googleは、使っていない回線を提供すると報酬がもらえる、とうたうアプリにも注意を促しています。XCPEとは別の仕組みですが、自宅の回線が他人の通信に使われる点は同じです。警察庁などの資料でも、安易に使わないよう呼びかけられています。
【現役SEの視点】認証は、確かめた時点のことしか言えない
今回いちばん考えさせられたのは、「Google認定」の話です。認定のテストを通ったあとで、悪性コードを読み込む作りだったからです。認定は、テストを受けた時点の姿しか保証できません。
システムの仕事をしていると、「認証を取っている製品か」は調達のときに確かめやすい項目だと感じます。書類で確認できるからです。ただ、出荷のあとで動きが変わるものは、書類では見抜けません。
もう1つは、作った会社の見えにくさです。時事通信によると、製造を外注された中国の業者が、委託元に無断で仕組んで納入したとされています。委託元の名前は書かれていません。買う人に見えるのはブランドだけで、作った会社は箱に書かれていないことが多いはずです。委託先の管理については、ISO27001附属書Aの管理策 A.5.19〜A.5.30でも書きました。
公式の配布物が起点になった話では、NIKKEのマルウェア、PC初期化の線引きも同じ構図です。利用者が確かめられない以上、手放す判断を持っておきたいと考えています。
まとめ
- Googleも警察庁も、公式の製品や型番の一覧を公表していない。手がかりはSynthientが観測した182型番で、対象製品の確定リストではない
- 一覧にはKM2やKM7など、MECOOLの製品名と同じ文字列がある。KM2はAmazon.co.jpにも商品ページがあった
- 一致しても感染とは限らず、一致しなくても安全とは限らない。「Google認定」の表示も手がかりにならない
- Fire TV、Chromecast、大手のテレビの名前は、一覧に見当たらなかった。安全の保証ではない
- 一致したら、ネットから外して買い替える。Googleはアカウント情報の持ち出しも確認しているので、パスワードを変え、ログイン中の端末から外す。売らない
- 工場出荷状態に戻して消えるかは、公式の資料に書かれていない。頼りにしない
引っかかった点
- 販売会社、ブランド、製造会社の関係が、確認した資料だけでは整理しきれない点。Synthientの結論はありますが、法人の関係までは分かりませんでした
- XCPEに限った日本国内の感染台数が、確認した資料に出ていない点