Az egyik okos eszköz gyártó épített veszélyes kártevőket, vírusokat a termékeibe. 

A történet különösen felháborító, mert a kínai Videostrong Technology állítólag tudatosan alakított ki egy olyan hátsó kaput, amelyen keresztül bűnözői hálózatok férhettek hozzá a felhasználók készülékeihez. A fertőzött boxokat többek között Mecool márkanév alatt is értékesítették. Vagyis miközben a vásárlók egyszerűen csak tévézni, streamelni és filmezni szerettek volna, a nappalijukban álló készülékek egy kiterjedt bűnözői hálózat részeivé váltak.

A helyzet messze túlmutat a bosszantó reklámokon vagy egy lassú rendszeren. Az XCPE nevű kártevő képes volt kikapcsolni a Google Play Protect védelmét, képernyőképeket készíteni, fiókadatokat megszerezni, parancsokat végrehajtani, sőt az otthoni hálózaton található más eszközöket is felderíteni. A fertőzött készülékeket hirdetési csalásokra és mások internetes forgalmának továbbítására is felhasználták.

És itt jön az igazán döbbenetes rész: a készülékek még a Google biztonsági ellenőrzésén is átmentek! A rosszindulatú kód ugyanis csak az első beállítás és az internetkapcsolat létrejötte után töltődött le. Magyarán a Google tanúsítványa sem tudta garantálni, hogy a felhasználó nem egy előre beépített digitális kémkedési eszközt visz haza.

A Google ugyan fellépett a botnetet működtető szerverek ellen, és megtiltotta a Videostrong számára, hogy a jövőben tanúsított Android-eszközöket gyártson, de ez aligha jelent valódi megnyugvást. A kártevő ugyanis továbbra is ott lehet a már eladott készülékeken! Ráadásul a védett rendszerpartícióról képes újratelepíteni magát, így egy egyszerű gyári visszaállítás vagy eltávolítás sem feltétlenül segít. A valódi megoldáshoz tiszta firmware-re vagy a készülék internetkapcsolatának megszüntetésére lehet szükség.

A Trend Micro több mint 1,47 millió fertőzött eszközt azonosított, vagyis a probléma még a Google által említett 1,3 milliós számnál is súlyosabb lehet.

Mindez komoly kérdéseket vet fel a Google felelősségével kapcsolatban is. Ha egy gyártó úgy képes éveken keresztül kártevőt terjeszteni, hogy közben a készülékei hivatalos tanúsítvánnyal rendelkeznek, akkor pontosan mennyit ér ez a tanúsítvány? És vajon hány hasonló biztonsági rés maradt még feltáratlanul?

A legnagyobb vesztesek természetesen a vásárlók, akik jóhiszeműen fizettek egy olcsóbb Android TV boxért, majd tudtukon kívül bűnözők kezébe adták az otthoni internetkapcsolatuk és akár személyes adataik egy részét.

Egyre inkább úgy tűnik, hogy az olcsó, ismeretlen gyártótól származó TV boxoknál nemcsak a képminőségen és a sebességen spórolhatunk, hanem a saját biztonságunkat is kockára tehetjük. És ha már a Google által hitelesített készülékekben sem lehet feltétel nélkül megbízni, akkor joggal merül fel a kérdés: kinek az érdekeit szolgálja valójában az a biztonsági pecsét?