BADBOX 2.0-家庭のIoT機器がサイバー犯罪の踏み台に|セキュリティニュース

投稿日時: 2025年06月10日更新日時: 2025年06月09日

2025年6月5日、アメリカ連邦捜査局（FBI）は、世界中の家庭で使用されているインターネット接続機器が、知らぬ間にサイバー犯罪の一端を担っている可能性があるとして、緊急のパブリック・サービス・アナウンスメント（PSA）を発表しました。警告の中心にあるのは「BADBOX 2.0」と呼ばれるマルウェアキャンペーンで、AndroidベースのスマートTVやストリーミング端末など、家庭用IoT機器を悪用する大規模なボットネットが確認されています。

1 見えない感染、拡がる脅威
2 犯罪インフラとしての家庭ネットワーク
3 世界222か国に広がる感染
4 FBIが示す兆候と対策
5 サプライチェーンの盲点と「安さ」の代償

見えない感染、拡がる脅威

「BADBOX 2.0」は、家庭内のIoT機器にあらかじめ仕込まれていたり、セットアップ時にインストールされるアプリを通じて感染するタイプのマルウェアです。感染すると、その端末はユーザーの知らぬ間にボットネットに組み込まれ、犯罪者の指示で不正なトラフィックの発信元、いわば“踏み台”として機能するようになります。

FBIの発表によれば、このボットネットには既に数百万台もの端末が組み込まれており、その多くが中国製の無名ブランド端末です。格安な価格で世界中に出荷されており、日本の家庭にも流通している可能性は否定できません。

特に「BADBOX 2.0」は、Androidのオープンソース版（AOSP）を採用し、Google Play Protectの認証を受けていない端末に集中しており、正規のアプリマーケットではない「非公式ストア」からアプリをダウンロードすることで感染が広がる傾向にあります。

犯罪インフラとしての家庭ネットワーク

感染端末は、指示されたコマンドに従い、以下のような活動を行うことが報告されています。

住宅用プロキシネットワーク：被害者のIPアドレスを利用して、他のサイバー犯罪者が不正アクセスや攻撃を行う
広告詐欺：バックグラウンドで広告を読み込みクリックし、収益を詐取
クレデンシャル・スタッフィング：流出したID・パスワードを使って他人のアカウントへのログインを試行

こうした悪用により、犯罪の実行元を特定することが極めて困難になり、攻撃の追跡を妨げる要因となっています。

世界222か国に広がる感染

セキュリティ企業HUMANによると、BADBOX 2.0はすでに222か国にわたり感染が広がっており、特にブラジル（37.6％）、アメリカ（18.2％）、メキシコ（6.3％）、アルゼンチン（5.3％）などで多くの被害が報告されています。日本国内においても、通販サイトや並行輸入品を通じて流通している端末が含まれている可能性は否定できず、決して他人事ではありません。

BADBOX 2.0が潜んでいた主なデバイス例は以下の通りです。