01

2026年11月2日，谷歌公布了一份调查报告，揭露了一个涉及全球200多个国家和地区、130多万台电视盒子的网络安全事件。

涉事企业是深圳市一家公司，成立于2011年，曾获得谷歌认证的安卓智能硬件制造商，为海外品牌商提供OEM、ODM服务。

据谷歌调查，这家公司在生产设备的时候，将一种名为XCPE的恶意程序植入了产品的底层固件。

这意味着，消费者买到手的设备，从出厂的时候就已经被人留了一扇后门。一旦接通电源、连上网络，别人就可以在消费者毫不知情的情况下远程操控设备。

为了逃避谷歌的安全检测，该公司还采用了代码混淆等技术，让部分恶意代码在设备首次开机后才加载。

谷歌认定，这并非个别员工的私自行为，也不是技术人员的工作失误，而是有意为之的商业牟利行为。

谷歌已经切断相关控制服务器，并终止了与该公司的合作。

02

一家做硬件的企业，为什么要费尽心思在产品里留一扇后门？

当然是为了赚钱。

只不过，这种赚钱方式超出了很多普通人的认知。

恶意程序被植入后，这家公司不仅可以靠卖硬件赚钱，还可以把卖出去的硬件变成持续产生收益的工具。

其中一种赚钱方式，是出租住宅IP。

假设一个人在境外从事网络诈骗，他不希望自己的真实IP地址暴露，便可以向相关灰黑产业的服务商购买代理服务，让自己的网络流量通过你家的电视盒子转发出去。

对外显示的IP地址是你家的，而不是他的。如果警方追查相关网络活动，你家的IP地址就有可能出现在调查线索中。

你花钱买设备，交电费，交网费，别人却在出租你家的网络赚钱。

第二种赚钱方式是广告欺诈。

很多海外广告按展示次数、点击次数计费。只要控制足够多的联网设备，就可以在后台制造虚假的广告展示和点击行为，骗取广告收益。

第三种赚钱方式是直接出售设备的访问权限，让其他灰黑产业的从业者在设备上安装更多恶意程序，各取所需。

谷歌在调查过程中还发现了远程截屏、模拟按键、获取账户信息及系统数据等行为。

据了解，此次被切断的关联恶意软件控制服务器，还涉及至少1000万台其他受感染的设备。

从商业逻辑上讲，如果出售硬件之后还能获得持续收益，那么厂商就有动力以极低的价格出售硬件，以获得尽可能多的联网终端。

所以啊，有时候人家卖东西特别便宜的时候，别以为人家傻，而是要想想为啥人家要给你个大便宜占。

当你为自己买到了一款物美价廉的智能产品而沾沾自喜的时候，或许在某些人眼里，你才是那个有商业价值的产品。

03

如今，智能电视、智能音箱、智能门锁、扫地机器人、宠物陪伴机器人、儿童学习机、家用摄像头……已经进入了我们的私人生活空间。

这些设备有的能听，有的能看，有的能记录我们的生活轨迹，有的甚至拥有打开我们家门的能力。

很多人觉得，买大厂、大品牌的产品就不用担心安全问题。

别忘了，大品牌也可能委托其他企业生产。这次涉事的恶意程序就出现在不同品牌、不同型号的产品中，而生产企业此前还是谷歌认证的合作伙伴。

品牌和认证可以作为我们选购产品的参考，却不能成为我们放弃防范的理由。

我建议大家养成几个习惯：

第一，不需要联网的产品，尽量不要让它联网。

一个电饭煲能正常煮饭，我为什么一定要让它接入家里的网络？

第二，尽量不要在卧室等私密空间安装联网摄像头。

对于不需要使用的摄像头和麦克风权限，能关闭的就关闭。

第三，给家里的智能设备单独设置一个与主网络隔离的Wi-Fi。

现在很多路由器都有访客网络功能，开启设备与主网络的隔离设置即可。不要让这些设备轻易访问存放重要资料的电脑和手机。

第四，购买智能产品的时候，除了关注价格、功能和品牌，还要关注厂商是否提供长期的安全更新，软件权限是否合理。定期通过官方渠道更新软件和固件。

我们没有必要拒绝技术进步，但也没有必要为了那一点点便利，毫无保留地向陌生人开放自己的私人生活空间。

04

那么，普通人如何检查自己家里的设备是否存在安全隐患？

先说一个针对本次电视盒子事件的排查办法。

打开安卓电视盒子的“设置”，找到“应用管理”，选择“显示系统应用”，查看是否存在以下程序包：

• x.cpe

• com.oemservice

• com.abc.nexus

如果发现其中任何一个，就应当将设备视为已受感染，立即断网，停止使用。

不要以为卸载软件或者恢复出厂设置就能解决问题。这次的恶意程序藏在出厂固件里，恢复出厂设置之后仍可能重新出现。

接下来，再教大家一个适用于家庭联网设备的通用排查办法。

打开路由器的管理APP，或者通过浏览器进入路由器管理后台，找到“联网设备”，“终端管理”或类似选项。

你可以看到家里有哪些设备正在联网。如果发现不认识的设备，可以逐一核对。

如果路由器支持查看各个设备的历史流量，还可以观察那些长时间没有使用的智能设备，看看它们是否仍在持续产生异常的大量网络流量。

最后，将你所使用的设备品牌、具体型号和固件版本发给能够联网搜索的AI，让它帮你查询该产品是否存在已公开的恶意程序、安全漏洞、后门事件或安全警告，并要求它提供原始信息来源。

如果确认设备存在恶意程序，立即断网，并使用另一台安全的设备修改曾在该设备上登录过的账户密码，开启双重验证。

对于无法可靠清除恶意程序的设备，建议直接更换。

你在使用智能产品的时候，最好想清楚自己获得的究竟是它的使用权，还是完整的控制权？

倘若一个陌生人依然能够在万里之外，操控一件放在我家里的、由我出钱购买的东西，我这不是花钱给自己买了个雷吗？