Ils achètent un boîtier TV, leur connexion Internet est ensuite louée à des inconnus : Google bloque 1,3 million d’appareils infectés

Acheter un boîtier pour regarder la télévision, puis découvrir que son appareil travaille secrètement pour des inconnus. C'est le scénario décrit par Google après le démantèlement du réseau XCPE, qui avait enrôlé plus de 1,3 million de boîtiers Android TV à travers le monde.

Dans une enquête publiée le 2 novembre 2026, le groupe américain accuse le fabricant chinois Videostrong Technology d'avoir installé volontairement une porte dérobée dans les appareils qu'il produisait pour différentes marques.

Selon les chercheurs de Google, le logiciel permettait de continuer à tirer de l'argent des boîtiers bien après leur vente, sans que leurs propriétaires en soient informés.

Le fabricant vendait les appareils, puis aurait revendu l'accès aux connexions de ses clients

Le mécanisme reposait sur un second marché, invisible pour l'acheteur.

Une fois le boîtier installé à domicile et connecté à Internet, le logiciel baptisé x.cpe pouvait recevoir des instructions à distance et télécharger des programmes supplémentaires.

Google affirme que Videostrong commercialisait cet accès auprès d'acteurs tiers. Ceux-ci pouvaient ensuite installer leurs propres modules pour faire fonctionner des systèmes de fraude publicitaire ou transformer les appareils en proxys résidentiels.

Ce dernier procédé permet de faire passer le trafic Internet d'un tiers par la connexion d'un particulier. Aux yeux des sites visités, l'activité paraît alors provenir d'une adresse IP domestique ordinaire.

Pour les exploitants de ces réseaux, cette ressource possède une valeur commerciale : elle permet de proposer des connexions provenant de véritables foyers, utilisables notamment pour masquer l'origine d'opérations automatisées.

Le phénomène n'est pas nouveau. En janvier 2026, Google avait déjà annoncé une intervention contre IPIDEA, un vaste réseau de proxys résidentiels. Cette fois, l'accusation est toutefois plus particulière : le logiciel malveillant aurait été intégré par le fabricant lui-même, et non simplement téléchargé par des utilisateurs trompés.

D'autres modules observés par Google auraient permis d'afficher des publicités à l'insu des propriétaires, de récupérer des informations sur les appareils ou d'installer de nouveaux logiciels.

Le rapport ne fournit cependant aucune estimation du chiffre d'affaires généré par XCPE ni du montant payé par les intermédiaires criminels.

Google interdit désormais à Videostrong de fabriquer des appareils Android certifiés

La réponse du groupe américain dépasse le simple blocage d'un virus.

Google a engagé des actions juridiques contre les domaines et serveurs utilisés pour piloter XCPE, distribuer des logiciels malveillants et contrôler les modules associés.

Avec plusieurs partenaires, dont la police japonaise et des entreprises de cybersécurité, il affirme avoir perturbé l'accès à plus de 1,3 million de boîtiers directement associés au réseau.

Ses équipes estiment également que la neutralisation de serveurs exploités par les groupes partenaires pourrait couper l'accès à au moins 10 millions d'autres appareils compromis. Il ne s'agit pas de dix millions de boîtiers XCPE supplémentaires : ces acteurs distribuaient aussi leurs logiciels par d'autres canaux.

Google a par ailleurs rompu ses relations avec Videostrong. Le fabricant et ses futures filiales ou sociétés affiliées sont désormais exclus de la fabrication d'appareils Android certifiés et de la fourniture de logiciels à d'autres fabricants certifiés.

L'affaire met en évidence un problème commercial qui dépasse les seuls boîtiers TV. Un appareil peut être vendu sous une marque, produit par un sous-traitant et contenir des composants logiciels que le distributeur final ne maîtrise pas nécessairement.

Pour les consommateurs, l'enjeu est aussi celui de leurs données et de leur connexion domestique. Google indique avoir observé des captures d'écran à distance, des récupérations d'informations et des commandes exécutées sur certains appareils infectés.

L'entreprise annonce avoir renforcé ses procédures de vérification des logiciels préinstallés, après avoir constaté que le code malveillant pouvait se charger au premier démarrage de l'appareil, une fois les contrôles de certification passés.