Box TV Android génériques : les risques cachés de l'ad fraud et des proxies résidentiels

Que se passe-t-il réellement dans votre box TV lorsque vous éteignez votre téléviseur ? Selon une enquête choc de Bitsight, relayée par Brian Krebs, les box TV Android génériques, comme le modèle H96, ne sont jamais réellement inactives. Elles participent à un vaste réseau de fraude publicitaire et de proxy résidentiel. Cet article décrypte les mécanismes de cette arnaque, les risques pour votre sécurité et les bonnes pratiques pour vous protéger.

L’alerte est donnée par Pedro Falé, chercheur en menace chez Bitsight. En enregistrant un nom de domaine expiré utilisé par les applications préinstallées sur ces box, il a pu observer le trafic de plus de 38 000 appareils à travers le monde. Son constat est sans appel : ces boîtiers sont les rouages d’une machine à fraude générant près de 50 000 dollars de revenus illicites par jour pour le compte de la société chinoise Zhejiang Fengwo IoT Technology Ltd, opérant sous le nom de Fengwo Group. L’enquête, minutieusement documentée et publiée en juillet 2026, est un avertissement sans frais pour tous les consommateurs. Un simple stick TV, acheté une trentaine d’euros sur une place de marché en ligne, peut se transformer en véritable cheval de Troie au sein de votre foyer. Non seulement il participe à un vaste réseau de fraude publicitaire, mais il loue également votre connexion Internet à des inconnus sans votre consentement. Les risques des box TV Android génériques ne se limitent pas à une simple promesse non tenue de streaming gratuit ; ils engagent votre sécurité numérique, votre vie privée et votre responsabilité légale.

Le modèle économique est implacable : le prix très bas de ces box (souvent entre 20 et 50 euros) est subventionné par la revente de votre connexion et la fraude publicitaire. En d’autres termes, vous êtes le produit. Chaque fois que vous éteignez votre téléviseur, votre box se met au travail pour générer de l’argent pour ses opérateurs, sans que vous en tiriez le moindre bénéfice. Pire encore, vous en subissez les conséquences : ralentissement de votre connexion, usurpation de votre identité numérique et risques juridiques.

Box TV Android génériques : une nouvelle menace révélée par Bitsight

Les experts en sécurité alertent depuis des années sur les dangers des box TV génériques. Leur promesse ? Un accès illimité à des contenus en streaming pour un paiement unique. La réalité ? Ces appareils, souvent basés sur des versions non officielles d’Android (AOSP modifié), sont de véritables nids à problèmes. La dernière analyse de Bitsight franchit un cap en révélant l’ampleur et la sophistication d’un réseau de fraude publicitaire.

« Nous avons remarqué que quelque chose clochait sérieusement, explique Pedro Falé. De multiples appareils, censés être des box TV Android, se déclaraient comme des téléphones auprès de notre serveur de télémétrie. » Cette découverte a ouvert la boîte de Pandore. Les box H96, comme de nombreuses autres marques génériques, ne se contentent pas de diffuser du contenu ; elles sont programmées pour exécuter des tâches frauduleuses en arrière-plan.

“Multiple devices reporting to this factory Android TV Box backdoor were ‘phones’.” - Pedro Falé, Bitsight

Le fonctionnement du réseau de fraude publicitaire Fengwo Group

Spoofing des appareils : des box TV qui se font passer pour des smartphones

Le cœur de la fraude repose sur une technique de spoofing (usurpation d’identité). Les box H96, lorsqu’elles sont sollicitées par le réseau Fengwo, modifient leur signature numérique (user-agent, identifiants matériels) pour se faire passer pour des modèles de smartphones populaires : Samsung Galaxy, Vivo, Huawei, Xiaomi. Pourquoi une telle supercherie ? Parce que les annonceurs publicitaires sont prêts à payer beaucoup plus cher pour un clic provenant d’un utilisateur de smartphone que d’un boîtier TV. Le coût par clic (CPC) sur mobile est souvent trois à quatre fois supérieur à celui d’un appareil fixe.

La technique du spoofing est particulièrement sophistiquée. Les box H96 ne se contentent pas de modifier leur user-agent. Elles altèrent l’ensemble de leur signature numérique, y compris les identifiants matériels, pour correspondre exactement à des profils de smartphones Samsung Galaxy ou Xiaomi. Cette opération est orchestrée par les applications préinstallées développées par Fengwo Group, qui communiquent régulièrement avec les serveurs de commande et de contrôle (C2). Bitsight a découvert que toutes ces box avaient deux applications identiques installées en usine. En prenant le contrôle du domaine de télémétrie que ces applications utilisaient, Falé a pu analyser le trafic en direct. Les données envoyées incluaient la liste complète des applications installées et les informations matérielles détaillées de chaque boîtier.

Des sites web générés par l’IA pour piéger les annonceurs

Fengwo Group ne se contente pas de simuler des téléphones. L’organisation a créé un vaste réseau de sites web factices, entièrement générés par intelligence artificielle. Ces sites, aux thèmes variés (finance, santé, éducation, jeux vidéo, cuisine), publient des articles et des graphiques créés automatiquement. Leur unique objectif est d’afficher des publicités.

L’astuce est redoutable : ces sites n’affichent les publicités que si le visiteur correspond au profil spoofé des box H96. Ainsi, un internaute humain arrivant sur le site ne verra qu’un blog anodin et vide de sens. En revanche, la box H96, déguisée en smartphone Samsung, déclenchera l’affichage de multiples annonces qu’elle s’empressera de cliquer. Ce ciblage permet d’éviter d’être détecté par les systèmes de vérification humaine (CAPTCHA) et de maximiser les revenus frauduleux. Fengwo Group revendique la création de plus de 120 000 « humains numériques » (AI digital humans) sur son site fwgcloud.com. Bitsight suggère qu’il pourrait s’agir d’une façade marketing destinée à masquer la véritable nature de ses activités ou à attirer des investisseurs.

Blockly : un outil visuel au service de la fraude industrialisée

Pour industrialiser la fraude, Fengwo Group utilise Blockly, un langage de programmation visuel initialement conçu par Google pour apprendre le code aux enfants. Les opérateurs de la fraude n’ont plus besoin d’être des développeurs chevronnés. Ils peuvent assembler des blocs de code par simple glisser-déposer pour créer des routines de navigation et de clics. L’utilisation de Blockly abaisse considérablement la barrière technique, permettant à des opérateurs peu qualifiés de créer des routines de fraude complexes.

Bitsight a même retrouvé des documents internes expliquant que « seul un petit nombre de développeurs hautement qualifiés est nécessaire pour construire les modèles d’unités d’exécution ». Les opérateurs qui créent les routines à partir de ces modèles ont « des exigences techniques considérablement plus faibles, ce qui réduit fortement les coûts opérationnels de l’entreprise ». Cette flexibilité permet au réseau de s’adapter rapidement aux changements d’algorithmes des plateformes publicitaires.

Le système fusionne trois systèmes de vision et de raisonnement pour permettre aux box de cliquer sur les publicités de manière quasi humaine. Les box sont capables d’identifier visuellement une bannière publicitaire sur une page, de cliquer dessus, puis de naviguer sur la page de destination comme le ferait un humain.

Double vie des box H96 : proxy résidentiel et ad fraud

L’un des aspects les plus troublants de cette affaire est la double fonctionnalité des box H96. Bitsight a découvert que ces appareils ne sont jamais inactifs et alternent entre deux régimes selon l’état de votre téléviseur. Cette double vie est un chef-d’œuvre d’ingénierie frauduleuse.

• Lorsque la télévision est allumée (détection du signal HDMI), la box fonctionne comme un proxy résidentiel. Elle loue votre connexion Internet à des inconnus. Ces clients peuvent aller de simples entreprises de scraping de données à des cybercriminels cherchant à masquer leur trafic pour des attaques ou du credential stuffing.
• Lorsque la télévision est éteinte, la box bascule automatiquement en mode fraude publicitaire (ad fraud). Elle utilise alors toute sa puissance de calcul pour visiter les sites de Fengwo Group et cliquer sur les publicités, simulant un comportement de navigation humaine.

Cette bascule est logique : la fraude publicitaire est très gourmande en ressources processeur et bande passante. Si l’utilisateur veut regarder une vidéo, la box doit libérer des ressources. En revanche, lorsque le téléviseur est éteint, la box peut se consacrer entièrement à générer de l’argent pour ses opérateurs. Cette optimisation de la ressource permet à Fengwo Group de maximiser ses revenus 24 heures sur 24.

Quels sont les risques concrets pour l’utilisateur ?

1. Risques juridiques : Votre adresse IP est utilisée pour des activités frauduleuses ou illicites. Vous pourriez voir votre IP blacklistée par des services légitimes (banques, administrations) ou être tenu responsable en cas d’enquête. En France, la location non consentie de votre connexion peut violer les conditions générales d’utilisation de votre fournisseur d’accès Internet et vous exposer à des poursuites.
2. Vol de bande passante : Votre connexion Internet est ralentie en permanence. Si vous avez un forfait data limité, la fraude publicitaire peut le consommer très rapidement, vous faisant potentiellement payer des frais de dépassement.
3. Espionnage et vie privée : Les applications installées collectent l’intégralité de votre liste d’applications et des informations matérielles. Elles savent exactement ce que vous regardez et quand vous regardez. En France, la CNIL pourrait considérer cela comme une violation du RGPD, mais le recours contre une société chinoise est quasi impossible.
4. Vulnérabilité réseau : Ces box sont des passoires. Sans aucune authentification et avec des logiciels obsolètes, elles peuvent servir de point d’entrée à un pirate pour infecter le reste de votre réseau domestique. En janvier 2026, le service Synthient a documenté comment des botnets avaient asservi des millions de box TV en exploitant ces failles.

Pourquoi les autorités (FBI, ANSSI) tirent la sonnette d’alarme

Un marché inondé de box non certifiées

Malgré les avertissements répétés du FBI et des experts en cybersécurité, des centaines de modèles de box TV génériques continuent d’être vendus sur les grandes plateformes de e-commerce (Amazon, Best Buy, Newegg, Cdiscount, Fnac). Leur prix défie toute concurrence (souvent entre 20 et 50 euros), ce qui attire les consommateurs peu informés. Ces appareils sont souvent promus par des influenceurs comme le moyen idéal de « casser les codes » des abonnements classiques et d’accéder à des contenus pirates sans abonnement.

Des failles de sécurité béantes

Ces box sont presque toujours livrées avec des versions obsolètes d’Android, sans aucune mise à jour de sécurité. L’absence de correctifs pour les vulnérabilités critiques (comme les failles dans le noyau Linux ou les pilotes Wi-Fi) les expose à des prises de contrôle à distance. Le CERT-FR (ANSSI) a émis plusieurs alertes concernant les risques liés aux objets connectés non certifiés, rappelant que ces appareils constituent un maillon faible dans la chaîne de sécurité numérique. La vente de ces box sur les plateformes de e-commerce françaises pose la question de la responsabilité des places de marché dans la distribution d’appareils potentiellement dangereux.

L’absence de correctifs et de support

Acheter une box TV générique, c’est accepter l’absence totale de support et de mises à jour. Une fois vendue, la box est abandonnée par son fabricant. Les failles de sécurité découvertes après la vente ne seront jamais corrigées. L’utilisateur est donc durablement exposé, et son appareil finira par être enrôlé dans un botnet. Contrairement aux appareils certifiés comme les Chromecast ou les NVIDIA Shield, qui bénéficient de mises à jour régulières pendant plusieurs années, ces box génériques sont obsolètes dès leur sortie de carton.

Comment se protéger des risques des box TV Android génériques ?

Heureusement, il existe des moyens simples et efficaces de se protéger contre ces menaces.

Choisir des marques certifiées Android TV / Google TV

Google fournit un moyen simple de vérifier si un appareil est officiel. Un boîtier certifié Android TV OS ou Google TV possède la certification Play Protect. Cela garantit que l’appareil reçoit des mises à jour de sécurité et que les applications sont vérifiées par Google.

Vérifier la certification Play Protect

Avant d’acheter un boîtier, rendez-vous sur le site de Google et suivez les instructions pour vérifier la certification de l’appareil. Si le boîtier n’est pas listé, fuyez. Méfiez-vous des descriptions marketing qui utilisent le terme « Android » sans préciser « Android TV OS officiel » ou « Google TV ». Un appareil certifié est un investissement dans votre tranquillité d’esprit.

Solutions alternatives recommandées

Investir dans un appareil de marque reconnue est un gage de tranquillité. Voici les alternatives recommandées par les experts en cybersécurité :

• Chromecast with Google TV (Google) : Excellent rapport qualité-prix, mises à jour garanties par Google.
• NVIDIA Shield TV Pro (NVIDIA) : Le plus puissant du marché, idéal pour le jeu et le streaming, support logiciel longue durée.
• Apple TV 4K (Apple) : Écosystème fermé et sécurisé, respect exemplaire de la vie privée.

**Encadré : Comment vérifier si votre box actuelle est compromise ?**
1. Consultez la liste maintenue par Synthient des appareils IoT connus pour embarquer des logiciels de proxy résidentiel.
2. Vérifiez les applications installées sur votre box. Si vous trouvez des applications inconnues aux noms génériques (ou des applications que vous n'avez pas installées), méfiez-vous.
3. Observez votre consommation de bande passante dans l'interface de votre box ou via votre routeur. Une box qui consomme plusieurs gigaoctets par jour alors que vous ne l'utilisez pas est un signal d'alarme majeur.
4. Utilisez un outil d'analyse réseau comme Wireshark ou l'interface de votre routeur pour voir les connexions sortantes de votre box. Des connexions persistantes vers des domaines chinois inconnus (comme fwgcloud.com) sont un très mauvais signe.
5. Si vous avez un doute, débranchez la box immédiatement et ne la reconnectez pas. Une réinitialisation d'usine ne suffit pas à supprimer les malwares intégrés au firmware.

Conclusion : Ne sacrifiez pas votre sécurité pour une économie de bout de chandelle

L’enquête de Bitsight, minutieusement documentée, est un avertissement sans frais pour tous les consommateurs. Un stick TV à 30 euros peut se transformer en cheval de Troie au sein de votre foyer, participant à un vaste réseau de fraude publicitaire tout en louant votre connexion à des inconnus. Les risques des box TV Android génériques ne se limitent pas à une simple promesse non tenue ; ils engagent votre sécurité numérique, votre vie privée et votre responsabilité légale.

La tentation d’économiser sur l’achat d’un boîtier TV est compréhensible, mais les risques sont bien trop élevés. En choisissant un appareil certifié, vous investissez dans votre tranquillité d’esprit et vous vous assurez que votre réseau reste votre propriété exclusive. Ne laissez pas une fausse bonne affaire compromettre l’intégralité de votre infrastructure numérique.

Avant votre prochain achat, posez-vous la question : ce boîtier TV Android bon marché met-il en danger mon réseau ? La réponse, au vu des dernières révélations de Bitsight et Krebs, est très probablement oui. Protégez-vous, choisissez des marques de confiance et restez informés des dernières menaces.