X.CPE nei TV box: cosa fare

Google ha annunciato il 2 novembre 2026 un’operazione contro X.CPE (o XCPE), una porta d’accesso malevola integrata nel firmware di oltre 1,3 milioni di TV box e set-top box. Secondo il Google Threat Intelligence Group, il codice permetteva di sfruttare dispositivi e connessioni domestiche senza il consenso dei proprietari. La disattivazione dell’infrastruttura criminale non significa automaticamente che ogni apparecchio compromesso sia stato ripulito.

Che cos’è X.CPE e perché un TV box poteva essere infetto già all’acquisto

La ricerca pubblicata dal Google Threat Intelligence Group attribuisce con elevata fiducia a Videostrong Technology lo sviluppo e l’impiego intenzionale del backdoor. Non si tratta del classico caso in cui un utente installa un’app sospetta: il componente malevolo era incorporato nel software di base di diversi modelli e marchi, talvolta attivandosi dopo il primo avvio per sfuggire ai controlli.

Google riferisce che l’accesso ai dispositivi veniva ceduto ad altri operatori criminali, capaci di caricare moduli per frodi pubblicitarie, raccogliere informazioni e trasformare la rete domestica in un proxy residenziale. In pratica, traffico di terzi poteva attraversare l’indirizzo Internet dell’utente. Il box poteva continuare a mostrare film e applicazioni normalmente: il funzionamento apparente non escludeva l’abuso della connessione.

Che cosa è stato bloccato davvero

Google e i partner hanno colpito domini e server di comando e controllo usati dalla botnet e dai moduli aggiuntivi. Google dichiara inoltre di aver interrotto i rapporti con Videostrong, impedendole di produrre dispositivi certificati con applicazioni Google preinstallate, e di aver rafforzato i controlli sul firmware. La società stima che il blocco dei domini collegati ai moduli possa interrompere l’accesso anche ad almeno 10 milioni di altri dispositivi compromessi tramite canali diversi da X.CPE: non sono 10 milioni di TV box X.CPE aggiuntivi.

La comunicazione di Plume, partner dell’operazione, parla di oltre 200 Paesi interessati. È una misura dell’estensione dell’infrastruttura, non una lista di modelli distribuiti in Italia. L’intervento ha danneggiato il funzionamento della botnet, ma la presenza precedente di software malevolo nel firmware richiede cautela nel parlare di bonifica completa.

Come capire se il tuo TV box è a rischio

Non è possibile stabilire dall’aspetto del dispositivo o dal solo nome “Android TV” se un box sia coinvolto. Le fonti pubbliche non offrono un elenco esaustivo e verificabile di tutti i modelli venduti ai consumatori. Inoltre Android TV, Google TV e i box generici basati su Android non sono automaticamente equivalenti: controlla il modello esatto, la certificazione e chi fornisce gli aggiornamenti del firmware.

1. Apri le informazioni di sistema del box e annota marca, modello, versione software e build, senza installare strumenti diagnostici trovati in link non affidabili.
2. Cerca una comunicazione di sicurezza sul sito ufficiale del produttore o del rivenditore e verifica l’esistenza di aggiornamenti firmware affidabili, specifici per quel modello.
3. Controlla che Play Protect sia attivo, quando presente. Non considerarlo una garanzia di rilevare un backdoor integrato nel firmware.
4. Se il dispositivo è di provenienza incerta o il produttore non fornisce supporto, valuta di scollegarlo dalla rete in attesa di informazioni affidabili. Per acquisti futuri preferisci prodotti di marchi con assistenza e aggiornamenti tracciabili.
5. Se sospetti un coinvolgimento concreto, evita di inserire credenziali sensibili nel box e chiedi indicazioni al produttore o all’assistenza. Un ripristino di fabbrica può non eliminare codice installato nel firmware.

Questi sono controlli prudenziali, non una procedura ufficiale di rimozione di X.CPE. Non esiste nelle comunicazioni consultate una singola patch universale per tutti i prodotti coinvolti. Anche disattivare temporaneamente il Wi-Fi o cambiare password del router non rimuove il codice dal dispositivo.

X.CPE è lo stesso malware Vo1d?

No. Si tratta di casi distinti, anche se riguardano apparecchi collegati al televisore. Per capire le differenze puoi consultare il nostro approfondimento sul malware Vo1d sui TV box Android e quello sui rischi dei dispositivi smart e delle minacce autoreplicanti. Non bisogna attribuire automaticamente a X.CPE ogni infezione di un box Android.

Qual è la conseguenza concreta per chi usa un TV box in Italia?

La lezione del caso è il rischio della catena di fornitura: un prodotto può arrivare a casa con software compromesso prima ancora che l’utente lo configuri. La priorità è conoscere la provenienza del dispositivo e la disponibilità di aggiornamenti autentici. Al 2 novembre 2026 le fonti citate non consentono di identificare ogni singolo modello interessato né di garantire che lo smantellamento remoto abbia rimosso il backdoor dai box già venduti.