200万台以上のスマートテレビがDDoS攻撃の踏み台に悪用|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年01月08日更新日時: 2026年01月08日

米Synthient Researchは2026年1月2日、DDoSおよびプロキシ型ボットネット「Kimwolf」を追跡した調査レポート「A Broken System Fueling Botnets」を公開しました。レポートでは、住宅用（レジデンシャル）プロキシの仕組みが、感染拡大の踏み台として悪用されている実態が詳述されています。
Synthientは、Kimwolfの感染端末数が200万台を超えたと「高い確度」で評価しており、

主な標的はAndroid端末、とくにTVストリーミング端末（TVボックス等）だとしています。

1 概要
2 感染端末「200万台超」、週あたり「1200万IP」を観測
3 露出したADBで踏み台化
4 感染端末の中心はTVボックス SDKからプリインストールの疑いも
5 DDoS攻撃の脅威
6 もう一つの問題
7 影響はどこまで及ぶか：個人・企業・プロキシ事業者で危険の形が変わる
8 Synthientが示す対策：プロキシ側の遮断と、組織側の監視・遮断

概要

DDoSおよびプロキシ型ボットネット「Kimwolf」は単に脆弱端末をスキャンしているのではなく、住宅用プロキシネットワークを通じて、家庭内や端末ローカルの到達可能範囲へ入り込み、露出したADB（Android Debug Bridge）などを狙って感染させる点です。

Synthientの観測では、住宅用プロキシ網からのアクセスが増加し、特定ドメインが0.0.0.0へ解決される（＝プロキシSDKが動作する端末自身を指す挙動）ことも確認されています

。これは、プロキシ経由で外部から来た通信が、結果的に端末ローカルや同一ネットワーク内へ向いてしまう構造的な問題を示唆します。

感染端末「200万台超」、週あたり「1200万IP」を観測

Synthientは、Kimwolfの感染規模について以下のように具体的な数字を提示しています。

感染端末数：200万台超（高い確度で評価）
観測されるユニークIP：週あたり約1200万
感染が多い地域：ベトナム、ブラジル、インド、サウジアラビアなど

端末数が200万台規模でも、IPの揺れ（回線・端末の入れ替わり、プロキシ網での再配布）によって、外部から見るIPの顔が膨らみやすく、結果として追跡・遮断を難しくする温床になっている構図が読み取れます。

露出したADBで踏み台化

Kimwolfの感染チェーンの要点として、Synthientは露出したADBサービスを主要ターゲットに挙げています。

さらに、プロキシ網が「ローカルネットワークへのアクセス」や「高リスクポートへの到達」を許す設定だと、攻撃者はプロキシを踏み台にして短時間で探索・侵入し得ます。

実際、レポートでは、攻撃側が狙うポートとして 3222 / 5555 / 5858 / 12108 などが挙げられています（いずれも端末管理・デバッグ系や、悪用されやすい経路に絡むことが多い範囲です）。

また、Synthientが住宅用プロキシプールの一部を分析したところ、Android端末の67%が「未認証で応答」しており、遠隔からの悪用余地が大きい実態が示されています。さらにスキャンでは、約600万の脆弱IP（IPv4/IPv6のユニークアドレス）が見つかったとしています。

感染端末の中心はTVボックス SDKからプリインストールの疑いも

Synthientは、感染端末の機種情報（製品名・デバイス名）を分析し、TV BOXやSMART_TVなどが上位に来ると報告しています。加えて、過剰に偏った分布は「偶然の感染」ではなく、購入時点で既に何らかのSDKが入っていた可能性を示唆します。

研究チームが実際に複数端末を購入したところ、端末がすでに悪性のプロキシSDKを実行していたことを裏付ける結果も得たとされています。

ここは非常に重く、単なる「利用者の設定ミス」ではなく、サプライチェーン（流通・販売・導入）側の問題にまで波及し得る論点です。

DDoS攻撃の脅威

KimwolfはDDoS攻撃にも使われます。レポートではCloudflareの観測として、ピークが29.7Tbpsまたは14.1Bpps（billion packets per second）に達したと触れられています。
もちろん、特定の攻撃がすべてKimwolf単独と断定するのは慎重であるべきですが、少なくとも「この規模のボットネット群が実運用されている」ことは、企業・自治体・サービス事業者にとって現実的な脅威です。

もう一つの問題

レポートでは、Kimwolfの活動の中で、第三者の帯域収益化SDK（Byteconnect SDK）の導入も観測されたとしています。これは「感染端末＝DDoS要員」だけではなく、別の用途（プロキシ帯域の転売、アプリインストール収益、認証情報攻撃など）に横展開しやすいことを意味します。
実際に、当該SDKの通信を追うと、IMAPを含む複数の宛先に対するcredential stuffing（認証情報の使い回し攻撃）のような挙動も見えたと記されています。

影響はどこまで及ぶか：個人・企業・プロキシ事業者で危険の形が変わる

この手の「住宅用プロキシ × ボットネット」は、影響範囲が広い一方、立場によってリスクが変わります。

一般利用者：TVボックス等が感染していると、回線が攻撃に悪用され、通信品質低下やアカウント乗っ取り被害の踏み台化、最悪の場合は家庭内ネットワークへの横展開リスクが生じます。
企業・組織：感染端末が持ち込まれる（BYOD/私物端末、休憩室のTV端末、展示機など）と、社内ネットワークで不審通信が発生し、DDoS踏み台や認証情報攻撃の中継点になり得ます。
プロキシ提供側：ローカルネットワークや高リスクポートへ到達できる設計・設定が残っていると、攻撃者にとって「巨大なスキャン基盤」「感染基盤」として価値を持ち、業界全体の信頼も毀損します。