PDN
Match piraté en ce moment ?Portail clientAnalyse gratuite

Boîtiers Android piégés : 1,3 million de décodeurs transformés en relais pour criminels

6 min de lecture

Illustration de l'article : Boîtiers Android piégés : 1,3 million de décodeurs transformés en relais pour criminels

Le 2 novembre 2026, Google a annoncé avoir démantelé, la semaine précédente, un réseau de machines piratées caché dans plus de 1,3 million de boîtiers TV Android. Le logiciel en cause, baptisé XCPE (ou x.cpe), n’avait pas été installé par un pirate de passage : selon Google, il était livré d’usine, dans le micrologiciel des appareils, et exploité par leur fabricant.

Pour nous, qui retirons chaque semaine des annonces de « boîtiers tout inclus », l’affaire mérite qu’on s’y arrête : le décodeur bon marché est aussi l’appareil de base de l’IPTV pirate.

Ce que Google a trouvé

D’après le rapport de son équipe de renseignement sur les menaces (Google Threat Intelligence Group) et celui de la firme de sécurité TrendAI, publiés le même jour :

  • L’ampleur : plus de 1,3 million d’appareils selon les partenaires de l’opération. TrendAI a compté de son côté 1 472 554 appareils infectés, répartis sur 206 modèles, dans plus de 170 pays, entre le 3 juin et le 1er octobre 2026. Ces chiffres sont des minimums.
  • Les appareils : en très grande majorité des boîtiers TV Android, mais aussi des projecteurs, des appareils de télésanté, des machines de karaoké et des écrans d’affichage.
  • Le Canada est touché : selon TrendAI, les États-Unis, l’Allemagne, le Royaume-Uni, l’Australie et le Canada comptaient chacun entre 26 000 et 42 000 appareils infectés. La Malaisie, le Brésil, l’Irak, le Mexique et Taïwan arrivent en tête.
  • Le fabricant : Google désigne Videostrong Technology, un fabricant de Shenzhen qui conçoit et produit des appareils pour d’autres marques. Google estime « avec un haut degré de confiance » que la porte dérobée a été développée et exploitée par ce fabricant pour en tirer profit, et qu’il en vendait l’accès à des affiliés criminels. La firme Synthient arrive à la même conclusion. Aucune réponse de Videostrong n’avait été rapportée au moment d’écrire ces lignes.

À quoi servaient ces boîtiers

Pendant que leurs propriétaires regardaient la télévision, les boîtiers travaillaient pour d’autres :

  • Relais pour criminels (« proxys résidentiels ») : le trafic de tiers passait par la connexion du foyer. Pour un site visé, une attaque semble alors venir d’un abonné ordinaire de Vidéotron, de Bell ou de Rogers, et non d’un serveur suspect. TrendAI a relevé plus de 3,8 millions d’adresses domestiques et mobiles différentes utilisées ainsi en quatre mois.
  • Fraude publicitaire : des modules simulaient des visionnements de publicités.
  • Espionnage de l’appareil : selon Google, la porte dérobée pouvait prendre des captures d’écran, simuler des frappes au clavier, envoyer des informations de compte et ouvrir un accès à distance.
  • Installation silencieuse : elle désactivait la vérification des applications de Google Play Protect pour installer d’autres logiciels sans rien demander. TrendAI a compté plus de 187 000 installations de ce genre.

Google et TrendAI recensent plus d’une douzaine de familles de logiciels malveillants chargées par ce biais, dont NetNut, un autre réseau de relais que Google et le FBI avaient déjà frappé le 2 juillet 2026 et qui reposait lui aussi sur environ 2 millions de téléviseurs intelligents et boîtiers de diffusion.

Pourquoi on ne peut pas les nettoyer

XCPE est installé dans le système, avec les droits les plus élevés. L’utilisateur ne peut pas le retirer : s’il le désinstalle, il revient au redémarrage. Google et TrendAI le disent tous les deux. La firme Plume recommande une réinitialisation complète, sans préciser si elle suffit ; Synthient, elle, conseille de jeter ces boîtiers et a publié une liste de 182 noms de modèles, en prévenant que le nom seul ne prouve pas l’infection.

Le certificat de Google n’était pas une garantie : selon Plume, le réseau comprenait aussi des appareils certifiés. D’après Google, le code malveillant se chargeait après le premier démarrage, ce qui lui permettait de passer entre les mailles de ses tests. Google a depuis interdit à Videostrong et à ses futures filiales de fabriquer des appareils certifiés, a fait saisir par voie judiciaire les domaines et serveurs de commande, et dit avoir coupé l’accès à au moins 10 millions d’autres appareils compromis.

Notre lecture : le prix caché du boîtier pas cher

Ni Google ni TrendAI ne parlent d’IPTV pirate, et rien ne dit que les boîtiers de Videostrong étaient vendus avec des abonnements illégaux. Le lien est ailleurs : c’est le même genre d’appareil.

Dans nos recherches quotidiennes sur Marketplace, Kijiji ou les groupes Facebook, l’offre pirate se présente presque toujours de la même façon : un boîtier Android sans marque connue, « débloqué », livré avec une application qui donne des milliers de chaînes pour quelques dizaines de dollars par mois. C’était le modèle de l’affaire Arubox au Québec. Ces appareils viennent des mêmes chaînes d’approvisionnement bon marché que celles visées ici, et l’application de télé qui les accompagne s’installe hors des boutiques officielles, donc hors des contrôles de Google.

Le client d’un abonnement pirate prend donc deux risques que le vendeur ne mentionne pas : celui d’enfreindre la loi, et celui de brancher sur son réseau domestique un appareil qu’il ne contrôle pas, qui peut servir de relais à des criminels ou fouiller ses comptes. Le « tout inclus » à 20 $ par mois inclut parfois plus que prévu.

Ce que nous conseillons

Aux consommateurs, en reprenant les conseils de Google et de TrendAI :

  • acheter un boîtier d’une marque reconnue, certifié Android TV (la liste des partenaires est publiée par Google sur android.com) ;
  • se méfier de tout appareil ou toute application qui demande de désactiver Google Play Protect ;
  • refuser les applications qui proposent de vous payer pour « partager votre bande passante » ;
  • débrancher un boîtier sans marque dont on ne connaît pas la provenance.

Aux ayants droit et aux diffuseurs : le décodeur illicite n’est pas qu’un manque à gagner, c’est aussi un risque de sécurité pour le public. C’est un argument utile auprès des plateformes de petites annonces, à qui nous demandons de retirer ces offres.

Sources

Sur le même sujet

Votre contenu est piraté ? Nous pouvons le faire retirer.

Parlez avec un expert1 833 967-1334