Google、Android TV認証メーカーが130万台にバックドアと公表

Googleが、Android TVの認証を受けていたメーカーが130万台のセットトップボックスに不正なバックドアを組み込んでいたと公表した。米Tom's Hardwareが報じた。

報道の見出しによれば、このメーカー（OEM）は、バックドアを通じた機器へのアクセス権を犯罪者側の協力者に販売していた。乗っ取られた大量の機器はボットネットとして、広告詐欺と、レジデンシャルプロキシ（一般家庭の回線を経由した中継サーバ）に悪用されていたという。メーカー名や販売地域、発覚の経緯は見出しからは分からない。

技術的に深刻なのは、出荷時点で機器に不正な仕組みが入っていた点だ。利用者がアプリを入れて感染するのとは異なり、購入した時点で侵害されているため、利用者側で気づくのは難しい。家庭の回線が中継に使われると、犯罪の通信が一般家庭からのものに見えるため、検知や追跡も難しくなる。

意味合いとして大きいのは、「認証済み」であることが安全を保証しなかった点だ。プラットフォーム側の認証制度の運用と、ハードウェアのサプライチェーンの信頼性の両方が問われる事案といえる。