Boîtier Android TV pas cher : comment savoir s’il travaille pour des cybercriminels sans que vous le sachiez

Deux millions d’appareils. C’est le nombre de boîtiers de streaming, de téléviseurs connectés et d’objets domestiques qui revendaient la connexion internet de leurs propriétaires à des cybercriminels, sans que personne à la maison ne s’en doute. Le FBI et Google ont fait tomber le réseau qui les exploitait début juillet 2026.

Si vous avez acheté un boîtier Android TV à trente euros sur Amazon, Temu ou AliExpress, vous êtes exactement dans la cible. Je vais vous expliquer ce que ces appareils font dans votre dos, comment repérer les signes qui trahissent une machine compromise, et surtout pourquoi la réinitialisation d’usine que tout le monde recommande ne règle souvent rien du tout.

C’est quoi un proxy résidentiel, et pourquoi votre boîtier intéresse des criminels

Un proxy (relais, en français), c’est une machine intermédiaire qui fait transiter le trafic de quelqu’un d’autre. Quand ce relais est un appareil installé chez un particulier, on parle de proxy résidentiel. Et c’est là que ça devient intéressant pour les malfaiteurs.

Un site marchand, une banque ou un service de messagerie savent très bien reconnaître le trafic qui sort d’un serveur loué dans un centre de données. Ces adresses-là sont fichées, filtrées, bloquées. Une connexion qui part d’une box internet française chez un particulier, en revanche, passe pour parfaitement légitime. Elle a l’air d’un client normal, dans un salon normal.

Concrètement, votre boîtier sert à masquer l’origine de trafic malveillant. Les usages relevés par les enquêteurs sont toujours les mêmes : tester en masse des mots de passe volés sur des sites marchands, exploiter des identifiants issus de fuites de données, contourner les protections anti-robots. Pendant une seule semaine de juin 2026, les analystes ont compté 316 groupes malveillants actifs sur cette infrastructure.

Le problème est aussi juridique. C’est votre adresse IP qui apparaît dans les journaux de connexion des sites attaqués. Pas celle du malfaiteur.

Ce que le FBI et Google ont démantelé exactement

L’opération visait NetNut, un service de proxies résidentiels exploité par la société israélienne Alarum Technologies, cotée au Nasdaq et à la Bourse de Tel-Aviv. Le Google Threat Intelligence Group, le FBI et l’opérateur Lumen ont annoncé le 2 juillet 2026 la saisie de centaines de noms de domaine liés au réseau, que les chercheurs suivent aussi sous le nom de Popa. Le titre Alarum a plongé dans la foulée et la société a suspendu une partie de son activité.

Retenez bien ce détail, il change tout : NetNut se présentait comme une entreprise légitime, pas comme un gang de pirates. Vendre de la bande passante résidentielle est un marché déclaré, avec des sites vitrines et des grilles tarifaires. Le nœud du problème est en amont, dans la façon dont ces deux millions d’appareils se sont retrouvés enrôlés sans le consentement de leurs propriétaires.

Le nom qui revient dans toutes les analyses est BadBox 2.0, un réseau d’appareils zombies mis au jour en mars 2025 par les chercheurs de HUMAN Security, avec un million d’appareils recensés à l’époque. En juillet 2025, Google a poursuivi ses opérateurs en justice et évoquait alors plus de dix millions de machines touchées. Les analystes de Google ont depuis retrouvé des composants NetNut à l’intérieur même de BadBox 2.0. Sa particularité : le code malveillant est préinstallé dans le firmware, le logiciel interne de l’appareil, avant même que le carton ne quitte l’usine. Vous branchez le boîtier, et il travaille déjà pour quelqu’un d’autre.

L’autre voie d’infection est plus classique. Des applications gratuites promettent de vous rémunérer en échange de votre bande passante. Certaines tiennent parole, beaucoup ne demandent aucun consentement explicite et revendent votre connexion sans rien vous verser. Sur un boîtier Android bas de gamme, ces applications sont parfois livrées d’origine.

Quels appareils sont concernés ?

Le profil type est toujours le même : un boîtier Android TV vendu entre 20 et 50 euros, sous une marque que personne ne connaît, sur une place de marché en ligne. Les modèles qui reviennent le plus souvent dans les analyses des chercheurs en sécurité portent des références génériques du genre T95, X96Q, MX10, TV BOX ou SuperBox.

Ces appareils tournent sous Android Open Source Project, la version libre d’Android, sans aucune des garanties de sécurité que Google impose à ses partenaires officiels. Pas de certification, pas d’audit, pas de mises à jour. La version d’Android embarquée a souvent cinq ou six ans.

Un signal doit vous alerter immédiatement à l’achat : un boîtier qui promet un accès gratuit et illimité à des chaînes payantes, à des films ou à du sport en direct. Ces appareils sont vendus sur cet argument précis, et c’est aussi la population qui concentre le plus d’infections. Soyons clairs, un fabricant qui vous vend du contenu piraté à trente euros ne va pas se montrer regardant sur ce qu’il installe d’autre dans son firmware.

À l’inverse, un Chromecast, une Apple TV, une Nvidia Shield, un boîtier fourni par votre opérateur ou un téléviseur Samsung, LG ou Sony ne sont pas concernés par ce type de compromission d’origine.

Les signes qui trahissent un boîtier compromis

Un appareil enrôlé dans un réseau de proxies ne fait rien de spectaculaire. Il n’affiche pas de rançon, il ne chiffre pas vos fichiers. Il travaille discrètement, ce qui le rend difficile à repérer. Quatre indices méritent tout de même votre attention :

• Le boîtier chauffe et consomme au repos. Vous ne regardez rien depuis deux heures, l’appareil est toujours tiède et son voyant clignote. Une machine en veille ne devrait pas travailler.
• Du trafic sortant la nuit. Personne ne regarde la télévision à trois heures du matin, et pourtant l’appareil discute avec internet.
• Une boutique d’applications inconnue installée d’origine, ou des applications sans icône dans la liste des programmes.
• Google Play Protect désactivé ou introuvable dans les réglages, alors que le boîtier se présente comme un appareil Android TV.

Le test le plus parlant reste celui du trafic réseau, et il se fait depuis l’interface de votre box internet. Chez la plupart des opérateurs, une page liste les appareils connectés avec le volume de données échangées. Débranchez tout sauf le boîtier, laissez-le en veille une nuit, et regardez le compteur au matin. Un appareil qui ne diffuse rien et qui a pourtant échangé plusieurs centaines de mégaoctets pose une vraie question.

Vérifier la certification Play Protect en deux minutes

Voilà le contrôle le plus fiable, et il est à la portée de tout le monde. La certification Play Protect atteste que Google a validé l’appareil et son firmware. Les boîtiers compromis ne l’ont jamais.

1. Ouvrez le Google Play Store sur le boîtier.
2. Allez dans les Paramètres du Play Store (icône de profil, puis Paramètres).
3. Déroulez la section À propos.
4. Cherchez la ligne Certification Play Protect.

Si la mention affiche « L’appareil n’est pas certifié », votre boîtier n’a jamais passé les contrôles de Google. Ça ne prouve pas qu’il est infecté, mais ça veut dire que personne n’a vérifié ce qu’il y avait dedans. Et si le Play Store est carrément absent de l’appareil au profit d’une boutique maison, la question est réglée.

Vérifiez au passage la date du correctif de sécurité, dans Paramètres puis À propos. Un boîtier vendu neuf en 2026 avec un niveau de correctif daté de 2019 n’a reçu aucune mise à jour depuis sa conception.

Pourquoi la réinitialisation d’usine ne suffit pas

C’est le conseil qu’on lit partout, et c’est là que je vais vous décevoir. Une réinitialisation d’usine remet l’appareil dans l’état où il était en sortant du carton. Quand le code malveillant a été implanté dans le firmware, en usine ou quelque part dans la chaîne d’approvisionnement, l’état d’origine est précisément l’état infecté.

Vous effacez vos comptes, vos applications et vos réglages. Le relais, lui, revient intact au premier redémarrage. Un antivirus Android n’y changera rien non plus : il tourne au-dessus du système, pas en dessous.

La réinitialisation garde un intérêt dans un seul cas de figure : quand l’infection vient d’une application installée après coup, sur un appareil sain au départ. Si vous avez un boîtier de marque connue et certifié Play Protect, faites-la sans hésiter. Sur une référence générique non certifiée, ne comptez pas dessus.

Et si votre boîtier a déjà servi de relais ?

Le mal est fait, mais il n’y a pas de fatalité. Le trafic sorti de chez vous n’est pas rattaché à votre nom, il est rattaché à votre adresse IP. Ça se manifeste par des symptômes bien concrets : des sites qui vous réclament un CAPTCHA à chaque visite, une boutique en ligne qui refuse votre commande, un service qui bloque votre connexion sans explication. Rien de dramatique, mais assez pénible pour qu’on s’en occupe.

Deux gestes règlent l’essentiel. Débranchez le boîtier, c’est ce qui coupe le relais. Changez ensuite les mots de passe des comptes ouverts sur l’appareil, à commencer par le compte Google et les accès de streaming. Pas la peine, en revanche, de redémarrer votre box en espérant changer d’adresse IP : chez Free en fibre elle est fixe, et chez Orange elle ne bouge plus après une simple resynchronisation. La réputation de l’adresse se rétablit d’elle-même une fois le trafic malveillant arrêté. Et si vous constatez un préjudice réel, compte piraté ou prélèvement inconnu, la plateforme publique Cybermalveillance.gouv.fr recense les démarches et les prestataires près de chez vous.

Ce que je ferais à votre place

Commencez par le test de certification Play Protect, il tranche en deux minutes. Si l’appareil est certifié, mettez-le à jour, activez Play Protect et surveillez sa consommation réseau pendant quelques jours.

S’il ne l’est pas, ma recommandation est brutale mais je l’assume : débranchez-le et remplacez-le. Un boîtier à trente euros dont vous ne pouvez pas nettoyer le firmware ne vaut pas le risque de laisser votre adresse IP servir de paravent à des attaques par bourrage d’identifiants. Si vous l’avez acheté récemment, demandez un remboursement en expliquant le motif.

En attendant de le jeter, une mesure de repli tient la route : isolez-le sur le réseau Wi-Fi invité de votre box. Il continuera de relayer du trafic, mais il n’aura plus accès à vos ordinateurs, à vos NAS et à vos imprimantes. C’est un pansement, pas un traitement.

Et la leçon à retenir si vous devez racheter : un appareil de streaming à trente euros n’est pas une bonne affaire, c’est un produit d’appel dont le vrai revenu se fait ailleurs. Comptez plutôt 55 euros pour une clé certifiée du type Fire TV Stick 4K Select, affichée 54,99 euros au catalogue français, et près de 80 euros pour un Fire TV Stick 4K Max hors promotion. Davantage encore pour un boîtier Google TV. Vous saurez au moins qui gagne de l’argent avec votre salon.

Cela pourrait aussi vous intéresser

Comment empêcher votre smartphone Android de vous écouter et de vous espionner ? Failles zero-click sur Android : 5 réflexes pour vous protéger Quel antivirus gratuit choisir pour Android ? Comment signer et chiffrer ses mails avec Android