テレビ箱は、買った時から誰かの出口だった——130万台のXCPEと、ホワイトハウスで見つかった住宅用プロキシ【2026】

2026年11月2日、Googleは静かな発表を行いました。130万台以上のセットトップボックスをボットネットに組み込んでいたバックドア「XCPE」を無効化した、という内容です。機器の多くはAndroid TVのテレビボックスで、購入した時点で入口が開いていました。

同じ週、別の調査会社はもっと奇妙な場所で同じ仕組みを見つけています。アメリカ大統領府が管理するネットワーク、いわゆるホワイトハウスの回線です。そこで検出されたのは、攻撃ではなく「一般家庭のIPアドレス」として通信を中継する装置の痕跡でした。

この記事では、2026年に入って一気に表舞台に出てきた住宅用プロキシ（レジデンシャルプロキシ）を扱います。テレビボックス、ルーター、無料VPN、そして「空き帯域を売って稼ごう」というアプリが、どうつながっているのかを追います。

買った時から、入口が開いていた——XCPEと130万台

XCPEの正体は、ファームウェアに出荷前から組み込まれたバックドア「x.cpe」です。一部のビルドでは「com.oemservice」という名前で入っています。システム権限（android.uid.system）で動作し、利用者が削除しても再起動のたびに/oemパーティションから復元されます。

署名は製造元の鍵で行われています。つまり、端末の持ち主にはどうやっても取り除けません。Googleは、Android機器のOEM・ODMであるVideostrong Technology社が、経済的利益のためにバックドアとボットネットを意図的に開発し、運用していたと高い確信をもって評価しています。

構造は3段階に分かれています。通信を担当するx.cpe、モジュール実行を担うローダーのcom.abc.nexus、そして収益化モジュールです。x.cpeは起動後に機器のシリアル番号やMACアドレスをAES暗号化して送信し、MQTTブローカーの接続情報を受け取ります。以後は常時接続のまま、遠隔からの指示を待ちます。

指示の内容は穏やかなものではありません。アプリの無断インストール、任意のシェルコマンド実行、画面キャプチャ、キー入力の注入、ネットワーク偵察まで含まれます。しかも実行の前に、端末側の同意設定を消してGoogle Playプロテクトの検証を無効化するコードが組み込まれていました。

台数の見積もりは観測者ごとに少しずつ違います。Googleは130万台超、Plumeとの共同発表では130万台超で200か国以上、TrendAIの自社テレメトリは2026年6月3日から10月1日で147万2,554台・206機種・170か国以上でした。Synthientは少なくとも130万台、うち約50万台が稼働中と推定しています。

感染していたのはテレビボックスだけではありません。遠隔医療機器、カラオケ機器、デジタルサイネージでも確認されています。映画業界団体と共同で解析されたMECOOL KM9PRO Maxにも、x.cpeが事前導入されていました。家電量販店や通販サイトで普通に売られていた機器です。

ホワイトハウスで見つかった「夜の出口」

2026年11月4日、セキュリティ企業のLayer3 Intelは奇妙な観測結果を公開しました。同社が運用する住宅用プロキシの観測ツールで、AS2650というネットワークから出口ノードが出ていることに気づいたのです。AS2650はアメリカ合衆国大統領府に登録されたネットワークです。

10月5日から11月3日までの30日間で、出口は236回確認されました。使われたIPアドレスは6個、日数は26日、そして28種類もの住宅用プロキシサービスが同じネットワークから外へ出ていました。同社はSpurやSynthientといった別の検出サービスでも同じ結果を確認しています。

興味深いのは時間帯です。通信の約半数が東部時間の17時から0時に集中し、早朝はほとんど発生していません。Layer3 Intelはこの偏りから、公開されたゲスト用Wi-Fiではなく、夜遅くまで居室で端末を使う個人のデバイスが感染していると推測しました。

ここで押さえておきたいのは、これが特別な侵入工作ではないという点です。同社の説明はこうです。誰でも公開の住宅用プロキシサービスに登録し、数ドル払ってリクエストを流せばよい。特定のネットワークを狙ったのではなく、世界中に回転アクセスを投げていたら偶然通った、という表現になっています。

住宅用プロキシとは何か——価値は「住所」だけ

プロキシは通信の中継役です。そのうち住宅用プロキシは、ISPが一般家庭や小規模事業者に割り当てたIPアドレスを経由して通信を流す仕組みを指します。データセンターのIPは「サーバーの住所」に見えますが、住宅用は「家庭の住所」に見えます。

この違いが、そのまま商品価値になります。企業のアクセス制御や不正検知は、海外のデータセンターからの接続を遮断しがちです。しかし国内の一般家庭からの通信に見えてしまえば、同じ制限をすり抜けられます。広告の表示確認や価格調査といった正当な用途もある一方、秘匿を目的とした需要が大きいのが実情です。

出口ノードになる経路は2つに分かれます。ひとつは利用者が承知している場合で、空き帯域を提供すると報酬が得られるサービスがこれに当たります。もうひとつは承知していない場合で、アプリに埋め込まれたSDK、無料VPN、機器の脆弱性、製造・流通過程で仕込まれたマルウェアが使われます。

どちらの経路でも、被害者側から見える景色は同じです。アクセスログには家庭のIPアドレスが残り、攻撃者本人の所在は見えません。NICTはこの状態を「発信元を一般家庭に偽装する」と説明しています。

数字で見る日本——不正送金737件、13億9千万円

国内の実態は、思ったより具体的な数字で把握されています。NICTは2026年1月以降、1日あたり最大約2万7,000のIPアドレスを住宅用プロキシの出口ノードとして観測しました。国内には少なくとも数万台規模が存在すると推定しています。

犯罪統計との接続も進んでいます。警察庁の分析では、2024年のインターネットバンキング不正送金のうち少なくとも1,918件、被害額約28億9,000万円で住宅用プロキシが使われました。件数で約44%、金額で約33%を占める計算です。

2025年の数字はさらに重くなります。不正送金被害4,747件のうち、少なくとも737件・約13億9,000万円で住宅用プロキシが経由されていました。2026年には企業への不正アクセスでも十数件で家庭用IoT機器が中継に使われ、個人情報の流出を伴う事案では10社以上が被害に遭っています。

指標	数値	出所・時期
国内で1日に観測された出口IP	最大約2万7,000	NICT・2026年1月以降
国内の推定規模	少なくとも数万台	NICT
2024年の不正送金で経由された件数	1,918件・約28億9,000万円	警察庁
2025年の不正送金で経由された件数	737件・約13億9,000万円	警察庁
XCPE感染端末	130万台超（最大147万2,554台）	Google・TrendAI
XCPEが販売した出口IP	384万9,226件（1日平均18万2,025件）	TrendAI

2026年7月21日には、総務省と警察庁がNICTと共同でファクトシートを公表し、「レジデンシャルプロキシ対策アライアンス」を設立しました。業界団体、電気通信事業者、セキュリティ事業者が連携する枠組みです。総務省の発表では、2024年に住宅用プロキシを経由した攻撃による被害額を「少なくとも約30億円」と見積もっています。

悪用される機器は「怪しい機械」だけではない

ファクトシートが挙げる機器は、特別なものではありません。ルーター、ネットワークカメラ、デジタルフォトフレーム、そして「テレビに接続して無料で国内外の動画を視聴できる」とうたう動画ストリーミング機器です。安価で提供元や更新方法が不明な機器、初期パスワードのままの機器が特に危険とされています。

PCやスマートフォン側の経路も残っています。提供元不明のアプリ、無料VPN、そして収益をうたう通信帯域提供サービスです。ここで厄介なのは、アプリを削除しても同じネットワーク上の別の機器に仕込まれたプログラムまでは消えないという点です。

海外の大型事例としては、アメリカ司法省が2024年5月29日に公表した「911 S5」の作戦があります。起訴内容によれば、MaskVPNやDewVPNといったVPNプログラムにマルウェアが組み込まれ、数百万台のWindows端末がネットワークを構成しました。関係したユニークIPは1,900万超、乗っ取ったIPの販売による利益は2018年から2022年7月までに約9,900万ドルとされています。

私の家にも、数年使っていないデジタルフォトフレームが押し入れにあります。買ったときは「便利な額縁」でしたが、今は「更新されないOSがネットにつながる端末」です。この見方の切り替えが、対策の出発点になります。

収益化の階層——SDKを入れた開発者にも報酬が流れる

2026年1月29日、Googleの脅威情報チームは世界最大級の住宅用プロキシネットワーク「IPIDEA」の解体を発表しました。ここで明らかになったのは、プロキシ事業が単独の犯罪ではなく、広告SDKの経済圏として成立しているという構図です。

IPIDEAの運営者は、表向き独立して見える13のブランドを管理していました。360 Proxy、ABC Proxy、Cherry Proxy、Luna Proxy、PIA S5 Proxy、Door VPN、Radish VPNなどです。さらに4種類のSDK（CastarSDK、EarnSDK、HexSDK、PacketSDK）を抱え、Android、Windows、iOS、webOSに対応していました。

仕組みはこうです。開発者がアプリにSDKを組み込むと、アプリは本来の機能を提供しながら、動作している端末をプロキシネットワークの出口ノードに変えます。開発者にはダウンロードされるたびに報酬が支払われます。ユーザーへの開示は必須ではありません。無料VPNを名乗るアプリが、VPN機能を提供しつつ裏で同じSDKを動かしていた例も確認されています。

規模も半端ではありません。Googleは1つの共有プールに約7,400台のティア2サーバーを確認し、Windowsの実行ファイル3,075個、Androidアプリ600個以上を特定しました。2026年1月の7日間だけで、中国、北朝鮮、イラン、ロシアのグループを含む550以上の脅威グループが、この出口IPを使って活動を難読化していたといいます。

GoogleはGoogle Playプロテクトで該当SDKを含むアプリを警告・削除し、新規インストールもブロックしました。ただしプロバイダ側は「IPアドレスは倫理的に調達している」と主張しており、Googleの分析はその主張の多くが不正確または誇張だと結論づけています。

比較表——4種類のプロキシと「見え方」の違い

プロキシと一口に言っても、種類によって検知のされ方が変わります。防守側からどう見えるかを整理すると、住宅用プロキシがなぜ重宝されるのかが理解しやすくなります。

種類	見え方	調達のされ方	検知の難しさ
データセンター	クラウド事業者のIP	契約で購入	低い（既知の帯域）
ISPプロキシ	ISPが保有する固定IP	事業者と契約	中程度
住宅用	一般家庭のIP	SDK・帯域提供・マルウェア	高い（正規利用と区別しにくい）
モバイル	携帯回線のIP	端末アプリ・SIM	非常に高い（IPが頻繁に変わる）

防守側の難しさは、住宅用IPを一律にブロックできないところにあります。家庭の回線を遮断すれば、正規の利用者を巻き添えにします。そのため検知は「IPの種別」ではなく「振る舞い」に頼らざるを得ません。同じIPから短時間に多数のアカウントが操作される、深夜だけ通信量が跳ね上がる、といった兆候を拾うことになります。

南極まで届く——観測された最果ての出口

Layer3 Intelの観測で興味深いのは、地理的な到達範囲です。同社は南極大陸でも3件の観測を記録しました。いずれもCloudflare WARPのアドレスで、マクマード基地を指しています。

南大西洋のセントヘレナ・アセンション・トリスタンダクーニャでは、413のアドレスと3万2,000件超の観測がありました。内訳はStarlinkと現地ISPのSure Saint Helenaです。ほかにもピトケアン島で1件、ノーフォーク島で1件（4観測）、スヴァールバル諸島のロングイェールビーンで1件（3観測）、フォークランド諸島で388アドレス、チャゴス諸島で43、トケロアで21、サウスジョージアで7が記録されています。

人口数百人の島に届く理由は、単純です。衛星ブロードバンドとスマートフォンが普及したからです。インターネットが届く場所には、必ず家庭用のIPアドレスと、更新されない機器が生まれます。プロキシ事業者は、その両方を資産として数えます。

踏み台にされると、利用者に何が起きるのか

まず起きるのは、IPアドレスの評判低下です。出口ノードになった家庭のIPは、不正アクセスや大量リクエストの送信元として記録されます。結果として、ECサイトでの購入、銀行のオンライン手続き、各種サービスのログインで、本人が原因不明のブロックや追加認証に遭う可能性があります。

次に、ネットワーク内部への到達です。Googleの解析では、IPIDEAのプロキシは通信を中継するだけでなく、端末を侵害するためのトラフィックも送信していました。Layer3 Intelも、対策が不十分なSDKが内部ネットワークへのアクセス経路になり得ると指摘しています。過去のボットネットは、まさにこの経路で増殖しました。

3つ目は、加害者側に立たされるリスクです。住宅用プロキシを経由した不正送金では、送信元として記録されるのは家庭の回線です。もちろん利用者に故意がなければ刑事責任を問われる場面は限られますが、説明と調査の負担は現実に発生します。機器の管理を怠っていた場合の民事上の責任も、ゼロではありません。

私が以前、自宅のルーターの管理画面を開いたのは、引っ越しから2年が経った頃でした。初期パスワードのまま、外部からの管理が有効になっていました。設定を1つ変えるのに2分、気づかないまま2年です。

対策は「買わない・入れない・分ける」

総務省、警察庁、NICTが示す対策は、技術的に高度なものではありません。不審な動画ストリーミング機器を買わない、提供元が不明なソフトやアプリ、無料VPNを安易に使わない、通信帯域を提供すれば収益が出るとうたうサービスを使わない。この3つで経路の多くは塞がります。

そのうえで、OSとファームウェアを最新に保つこと、IoT機器を業務ネットワークから分離することが加わります。家庭でも、ルーターの管理画面を外部に公開しない、UPnPを必要時以外は切る、初期パスワードを変更する、といった基本が効きます。機器のサポート終了日を確認しておくのも有効です。

事業者側の動きも進んでいます。警察庁と関東管区警察局サイバー特別捜査部は2026年3月以降、Googleと情報共有を続けてきました。発端は2025年9月、福岡県警が不正送金事件の捜査中に、不正なアプリが混入されたIoT機器を発見したことです。解析の結果、中国の業者が発注を受けて製造する際にソフトウェアを仕込んでいたことまで判明しました。

ただし、テイクダウンで全てが終わるわけではありません。TrendAIは、中央サーバー2台の除去で運営者から機器は切り離されたものの、実装そのものは各機器に残ると指摘しています。Googleも、バックドア事業者、アドフラウド、住宅用プロキシ事業者が複雑なサプライチェーンを形成しているとして、継続的なインフラ追跡が必要だと述べました。

FAQ——住宅用プロキシのよくある疑問

ここでは、利用者から寄せられやすい質問をまとめます。判断に迷ったときの確認材料として使ってください。

質問	回答
住宅用プロキシを使うこと自体は違法ですか？	プロキシの利用自体を直接罰する法律はありません。ただし攻撃の隠蔽に使われた通信の中継は、不正アクセス禁止法などの事案として扱われます。
無料VPNを削除すれば安全ですか？	端末内のアプリは消えても、同じ回線につながるルーターや別のIoT機器に仕込まれたプログラムは残ります。回線全体で確認してください。
ルーターを初期化すべきですか？	悪用が疑われる場合は有効ですが、まず通信の記録を残してください。初期化で兆候が消えると原因の特定が難しくなります。
どうやって悪用に気づけますか？	使っていない時間帯の大量通信、通信ランプの常時点滅、回線速度の低下、身に覚えのない設定変更が手がかりになります。ただし断定はできません。
テレビボックスのXCPEは自分で消せますか？	システム領域に製造元の署名で組み込まれているため、利用者による削除はできません。販売元への問い合わせか、機器の交換が必要です。
企業のネットワークでは何を優先すべきですか？	組織が承認していない機器の接続防止と、業務ネットワークとIoT機器の分離です。境界の防御より、内部への到達経路を減らす発想が有効です。

まとめ——「ただの中継役」が資産になる時代

2026年に起きた2つの出来事は、同じ構造を示しています。テレビボックスの130万台は、製造の段階で出口として組み込まれました。ホワイトハウスの236回は、そこに居る誰かの端末が、あとから出口に変えられた可能性を示します。どちらも、利用者の意思決定とは無関係に成立しています。

住宅用プロキシの価値は、通信の内容ではなく住所にあります。だからこそ、家庭の回線を持つこと自体がリスクの入口になります。機器を買う前に提供元を確認し、怪しいアプリと無料VPNを入れず、ルーターの設定を一度見直す。派手な対策ではありませんが、この3つで防げる範囲は小さくありません。

まずは自宅のルーターの管理画面を開き、初期パスワードのままになっていないか確認してください。使っていないIoT機器のファームウェアも、合わせて点検しておきましょう。自分の回線が誰かの出口になっていないかを知ることから、対策は始めましょう。