Nowe urządzenie może trafić do naszego domu już ze złośliwym oprogramowaniem, a jego właściciel nawet nie będzie o tym wiedział. Google ujawnił, że chiński producent elektroniki miał celowo instalować w swoich urządzeniach furtkę umożliwiającą cyberprzestępcom przejmowanie nad nimi kontroli. W ten sposób ponad 1,3 mln sprzętów zostało włączonych do botnetu XCPE. Przestępcy mogli wykorzystywać domowe połączenia internetowe swoich ofiar do prowadzenia nielegalnej działalności, ukrywając się za ich adresami IP. Sprawa ponownie stawia pytanie o bezpieczeństwo oprogramowania instalowanego przez producentów. Podobne obawy o kontrolę nad danymi stoją za decyzją polskiego wojska, które zakazało wjazdu pojazdów wyprodukowanych w Chinach na teren chronionych obiektów wojskowych.
Twój sprzęt, internet dla cyberprzestępców
Przystawka multimedialna może działać bez zarzutu, odtwarzać filmy i zapewniać dostęp do ulubionych aplikacji, a jednocześnie wykonywać polecenia cyberprzestępców. Właśnie taki mechanizm wykorzystywał botnet XCPE, którego działalność ujawnił 2 listopada Google Threat Intelligence Group. Według ustaleń firmy za procederem miała stać chińska spółka Videostrong Technology, produkująca urządzenia z systemem Android oraz oprogramowanie dla innych marek.
Zainfekowany sprzęt mógł działać jako serwer pośredniczący, przez który przestępcy kierowali ruch internetowy. W praktyce oznacza to, że podejrzane połączenia mogły być widoczne w internecie jako pochodzące z publicznego adresu IP nieświadomego użytkownika. Właściciel urządzenia mógł nie mieć pojęcia, że jego domowe łącze jest wykorzystywane do oszustw lub innych działań cyberprzestępczych.
Z ustaleń Google wynika, że Videostrong celowo umieszczał złośliwy kod bezpośrednio w oprogramowaniu urządzeń. Po ich uruchomieniu aktywował się mechanizm umożliwiający zdalne wykonywanie poleceń oraz instalowanie kolejnych szkodliwych modułów. Dostęp do przejętego sprzętu był następnie sprzedawany innym grupom przestępczym, które wykorzystywały go m.in. do oszustw reklamowych, tworzenia sieci serwerów proxy i instalowania dodatkowego malware.
Zagrożenie wykraczało jednak poza wykorzystywanie domowego internetu. Złośliwe oprogramowanie pozwalało również na wykonywanie zrzutów ekranu, uruchamianie poleceń systemowych czy wykradanie informacji z urządzeń. Co więcej, mechanizm infekcji był zapisany w oprogramowaniu systemowym. Nawet po usunięciu szkodliwej aplikacji mogła ona zostać automatycznie przywrócona po ponownym uruchomieniu sprzętu.
Google wraz z partnerami podjął działania przeciwko infrastrukturze sterującej botnetem. Według firmy zakłócenie działania systemów wykorzystywanych przez powiązane grupy przestępcze może odciąć im dostęp do co najmniej 10 mln innych zainfekowanych urządzeń. Nie oznacza to jednak automatycznego usunięcia malware z każdego sprzętu. Google poinformował również o zakończeniu współpracy z Videostrong i wykluczeniu firmy z produkcji certyfikowanych urządzeń Android oraz dostarczania oprogramowania ich producentom.
Od telewizora do samochodu. Kto kontroluje nasze dane?
Sprawa botnetu XCPE pokazuje problem, który wykracza daleko poza domową elektronikę. Coraz więcej urządzeń codziennego użytku jest stale podłączonych do internetu, gromadzi informacje o użytkownikach i ich otoczeniu oraz komunikuje się z zewnętrznymi serwerami. Dotyczy to zarówno telewizorów, kamer i routerów, jak i nowoczesnych samochodów.
W lutym 2026 roku Sztab Generalny Wojska Polskiego poinformował o wprowadzeniu zakazu wjazdu pojazdów wyprodukowanych w Chinach na teren chronionych obiektów wojskowych. Powodem były obawy dotyczące możliwości niekontrolowanego pozyskiwania i wykorzystywania danych rejestrowanych przez systemy pokładowe. Wojsko zakazało również podłączania telefonów służbowych do systemów multimedialnych takich pojazdów.
Współczesne samochody są wyposażone w kamery, mikrofony, systemy geolokalizacji i moduły komunikacji bezprzewodowej. Mogą rejestrować trasę przejazdu, obraz otoczenia czy informacje o sposobie korzystania z pojazdu. Z perspektywy bezpieczeństwa istotne jest więc nie tylko to, jakie dane zbiera samochód, ale również kto ma do nich dostęp, gdzie są przechowywane i czy mogą być przesyłane poza pojazd.
Nie oznacza to, że w samochodach objętych ograniczeniami wykryto oprogramowanie analogiczne do botnetu XCPE. Decyzja polskiego wojska ma charakter prewencyjny i wynika z analizy potencjalnych zagrożeń. Obie sytuacje zwracają jednak uwagę na tę samą kwestię: użytkownik nie zawsze ma możliwość samodzielnego zweryfikowania, jakie funkcje realizuje oprogramowanie urządzenia i co dzieje się z gromadzonymi przez nie danymi.
Nowe urządzenie nie zawsze oznacza bezpieczne urządzenie
– Przez lata przyzwyczailiśmy się, że infekcja złośliwym oprogramowaniem jest najczęściej konsekwencją błędu użytkownika, na przykład otwarcia niebezpiecznego załącznika czy instalacji aplikacji z nieznanego źródła. Przypadek ujawniony przez Google pokazuje, że zagrożenie może pojawić się znacznie wcześniej, jeszcze na etapie produkcji urządzenia. Użytkownik nie musi niczego pobierać ani klikać w podejrzane linki. Sprzęt może działać prawidłowo, a jednocześnie wykonywać polecenia cyberprzestępców. Szczególnie niepokojąca jest możliwość wykorzystywania domowych łączy internetowych do prowadzenia nielegalnej działalności bez wiedzy ich właścicieli – komentuje Kamil Sadkowski, analityk cyberzagrożeń ESET.
Ryzyko nie ogranicza się do gospodarstw domowych. Podobne zagrożenia dotyczą przedsiębiorstw, w których do sieci podłączane są urządzenia pozostające poza kontrolą działów IT. Niewielka przystawka multimedialna, kamera czy inny sprzęt smart mogą stać się dodatkowym punktem dostępu do firmowej infrastruktury, szczególnie jeśli znajdują się w tej samej sieci co komputery i systemy przechowujące wrażliwe informacje.
Z punktu widzenia cyberbezpieczeństwa istotne znaczenie ma więc nie tylko ochrona przed zewnętrznymi atakami, ale również kontrola nad pochodzeniem urządzeń, jakością ich oprogramowania i sposobem zarządzania aktualizacjami.
