Box TV génériques : les risques insoupçonnés pour votre cybersécurité

Selon une enquête explosive de Bitsight relayée par KrebsOnSecurity, plus de 38 000 box TV Android génériques, comme le modèle H96, sont utilisées à l’insu de leurs propriétaires pour cliquer frauduleusement sur des publicités générées par IA et servir de proxy résidentiel à des cybercriminels. Ce système génère près de 50 000 dollars de revenus illicites par jour.

L’essor des box TV Android génériques promet un accès débridé et gratuit à tous vos contenus pour une fraction du prix des appareils certifiés. Face à la multiplication des offres de streaming payantes, ces boîtiers à moins de 50 euros séduisent de nombreux consommateurs français en quête d’économies. Selon une étude récente, le nombre de foyers français équipés d’objets connectés dépasse les 50 millions, et une part croissante de ces appareils sont des box TV non certifiées, achetées sur des places de marché en ligne. Mais à quel prix pour votre sécurité numérique ? Une enquête récente menée par Bitsight, leader de la gestion des risques cyber, et relayée par l’expert Brian Krebs, lève le voile sur une vaste infrastructure criminelle exploitant ces appareils. Plus de 38 000 boîtiers, dont le fameux modèle H96, sont exploités à l’insu de leurs propriétaires pour générer des revenus publicitaires frauduleux et louer leur connexion internet à des inconnus. Les risques des box TV génériques sont bien plus profonds qu’une simple gêne : ils transforment votre salon en une véritable ferme de bots, participant à des activités allant de la fraude au clic à l’attaque DDoS. Analysons les mécanismes de cette fraude, les acteurs impliqués, et surtout, comment vous protéger efficacement.

Anatomie d’une fraude : quand votre stick TV Android devient un outil de fraude publicitaire

Pedro Falé, chercheur en menace chez Bitsight, a fait une découverte stupéfiante en enregistrant un nom de domaine expiré. Ce domaine servait auparavant à la télémétrie pour des box H96, un modèle de boîtier TV Android très populaire vendu sur des plateformes comme Amazon, Newegg ou Best Buy. En analysant le trafic réseau, il a constaté que des dizaines de milliers d’appareils se faisaient passer pour des smartphones Samsung, Vivo, Huawei ou Xiaomi. Ce spoofing d’identifiant (usurpation de l’User-Agent) est une technique classique pour tromper les régies publicitaires, mais l’ampleur du phénomène est inédite.

« Nous avons remarqué que quelque chose clochait sérieusement », explique Falé. « De multiples appareils signalés comme des ’téléphones’ étaient en réalité des box TV. »

Ces appareils exécutaient deux applications provenant de la société Zhejiang Fengwo IoT Technology Ltd (Fengwo Group), fondée en 2019 en Chine. Bitsight a établi un lien direct entre ces applications et des brevets déposés par Fengwo Group, décrivant le fonctionnement exact de cette fraude au clic. Bitsight a suivi environ 38 000 boîtiers TV à l’échelle mondiale, générant un revenu estimé à près de 50 000 dollars par jour pour le seul domaine analysé. Ce chiffre, bien que conservateur selon les chercheurs (il ne concerne qu’un seul domaine parmi plusieurs), illustre l’ampleur économique et la sophistication du réseau. Dans la pratique, ces box sont programmées pour simuler un comportement humain : elles ouvrent un navigateur, visitent des pages, gèrent des onglets et cliquent sur des publicités avec une régularité parfaite, rendant leur détection extrêmement difficile pour les annonceurs.

Le système Fengwo Group : IA, Blockly et ferme de clics

Fengwo Group revendique la création de plus de 120 000 « humains numériques » (AI digital humans) sur son site web fwgcloud[.]com. Bitsight suggère que cela pourrait être une façade marketing pour masquer l’ampleur de leur botnet, ou une manière de détourner les soupçons en se présentant comme une entreprise d’IA légitime. Les sites web frauduleux sont générés par intelligence artificielle, couvrant la finance, la santé, l’éducation, le gaming, etc. Ils n’affichent des publicités que si l’appareil visiteur correspond au profil spoofé des box H96, créant ainsi un écosystème fermé difficile à infiltrer.

Un système de création de scripts à la portée de tous

Le mécanisme est d’une redoutable efficacité et démontre une véritable ingénierie sociale. Fengwo utilise Blockly, un langage de programmation visuelle développé par Google, initialement conçu pour apprendre aux enfants à coder. Bitsight a découvert que les employés de Fengwo utilisent Blockly pour construire les sites web frauduleux et les scripts de clics. Cette approche abaisse considérablement la barrière technique.

« Un opérateur peut assembler des blocs dans l’éditeur Blockly pour définir chaque routine frauduleuse, étant donné un type de tâche », lit-on dans le rapport Bitsight. « Une fois la routine sauvegardée, elle est exportée en JavaScript et téléchargée sur des buckets S3. Un opérateur n’a pas besoin d’une compréhension approfondie des détails techniques, tout est mis en place pour une utilisation facile. »

Pour garantir que les clics soient crédibles et détectent correctement les publicités, le système fusionne trois systèmes de vision et de raisonnement en une seule interface. Cela permet aux bots de naviguer sur les pages web, d’identifier les bannières publicitaires et de cliquer comme le ferait un humain, rendant la détection par les solutions anti-fraude traditionnelles (comme les CAPTCHA) obsolète. En outre, le rapport de Bitsight souligne qu’un développeur de Fengwo a explicitement mentionné que « seul un petit nombre de développeurs hautement qualifiés est nécessaire pour construire les images des unités d’exécution modèles », réduisant ainsi considérablement les coûts opérationnels de l’entreprise. Par ailleurs, l’analyse des certificats SSL a permis de relier directement le domaine de Fengwo Group à d’autres domaines utilisés par les applications malveillantes, confirmant ainsi le lien entre la plateforme de développement et les box infectées.

Proxy résidentiel vs fraude au clic : le double jeu des box H96

Les box H96 ne se contentent pas de générer des clics frauduleux. Elles intègrent également un logiciel de proxy résidentiel. Concrètement, cela signifie que votre connexion Internet et votre adresse IP sont louées à des tiers anonymes, qui peuvent les utiliser pour masquer leurs propres activités. Les utilisations de ces proxies vont du scraping agressif de données au contournement de géoblocage, en passant par des activités carrément illicites.

Bitsight a découvert un mécanisme de bascule automatique fascinant qui maximise l’exploitation de la box sans éveiller les soupçons de l’utilisateur :

• Lorsque la télévision est allumée (signal HDMI détecté), la box fonctionne principalement comme un proxy résidentiel. L’utilisateur peut regarder ses vidéos en streaming, mais sa bande passante est revendue en arrière-plan.
• Lorsque la télévision est éteinte, la box se consacre entièrement à la fraude publicitaire, une activité bien plus gourmande en ressources système (CPU, mémoire). Le boîtier devient alors une machine dédiée au clic frauduleux.

Cette dualité est une preuve de la sophistication technique des fraudeurs. Le FBI a mis en garde à plusieurs reprises contre ces appareils. En janvier 2025, le service de tracking Synthient a documenté comment des botnets avaient asservi des millions de box TV en exploitant des vulnérabilités combinées des logiciels de proxy et des firmwares obsolètes. La liste Synthient, régulièrement mise à jour, est une ressource précieuse pour les professionnels de la cybersécurité souhaitant identifier les appareils à risque.

Pourquoi les risques des box TV génériques sont une menace directe pour votre réseau

Au-delà de la fraude publicitaire et du proxy résidentiel, ces appareils posent un problème fondamental de sécurité. Ils sont généralement basés sur des versions obsolètes et modifiées d’Android, dépourvues des correctifs de sécurité essentiels. L’absence d’authentification robuste et la présence de backdoors préinstallées en font des cibles de choix pour les cybercriminels. En pratique, installer une telle box sur votre réseau domestique, c’est inviter un inconnu chez vous.

Voici un tableau comparatif détaillé pour mieux comprendre les différences avec un appareil certifié :

L’ANSSI rappelle régulièrement les dangers des objets connectés non certifiés. Selon un rapport de l’agence, les objets connectés représentent une porte d’entrée privilégiée pour les attaquants cherchant à pénétrer les réseaux domestiques et professionnels. Les conséquences peuvent aller du vol d’identifiants (comptes streaming, emails, réseaux sociaux) à la participation involontaire à des attaques DDoS massives, en passant par l’hébergement de contenus illégaux via votre IP ou l’installation de cryptomineurs.

Comment identifier et éviter ces pièges

Face à cette menace, la vigilance est de mise. Voici une liste d’actions concrètes pour sécuriser votre expérience de streaming et protéger votre cybersécurité. Ces étapes sont simples à mettre en œuvre et vous éviteront bien des déconvenues.

1. Vérifier la certification Google Play Protect. Google fournit une méthode simple pour vérifier si votre appareil est certifié. Rendez-vous dans les paramètres de votre appareil, section « Sécurité » ou « À propos de l’appareil ». Si la mention « Appareil certifié » n’apparaît pas, il y a de fortes chances que votre box soit une version générique et risquée.
2. Consulter la liste Synthient. Cet outil en ligne recense les appareils IoT connus pour embarquer des logiciels malveillants ou des proxies résidentiels. Vérifiez si votre modèle y figure. Attention, cette liste n’est pas exhaustive, mais elle constitue un excellent point de départ.
3. Privilégier les marques reconnues. Google (Chromecast), Nvidia (Shield TV), Amazon (Fire TV Stick officiel) et Apple (Apple TV) sont des valeurs sûres. Le surcoût à l’achat est une véritable assurance contre les risques de sécurité et de non-respect de la vie privée.
4. Analyser votre trafic réseau. Un outil gratuit comme Pi-hole, installé sur un Raspberry Pi, peut révéler des requêtes DNS suspectes vers des domaines inconnus ou situés dans des pays à risque (Chine, Russie, etc.). Une activité réseau constante, même lorsque l’appareil est inactif, est un signal d’alarme majeur.
5. Se méfier des offres trop alléchantes. Un boîtier promettant l’accès à tous les services de streaming (Netflix, Disney+, Canal+, etc.) pour un paiement unique de 30 euros est un signal d’alarme majeur. La gratuité ou le prix trop bas n’existe pas en matière de contenu légal.
6. Segmenter votre réseau Wi-Fi. La plupart des box internet modernes (Freebox, Livebox, Bbox, SFR Box) permettent de créer un réseau invité. Placez tous vos objets connectés (IoT) sur ce réseau séparé, isolé de vos ordinateurs, smartphones et données sensibles. C’est le geste le plus simple et le plus efficace pour limiter les dégâts en cas d’intrusion.
7. Mettre à jour vos appareils. Si votre box TV propose des mises à jour, installez-les sans tarder. Malheureusement, pour les box génériques, le support logiciel s’arrête souvent à la sortie de l’usine. Si aucune mise à jour n’est disponible depuis plus d’un an, l’appareil est probablement abandonné.

En France, la vente de ces box est encore largement répandue sur des plateformes comme Amazon, Cdiscount ou AliExpress. Malgré les mises en garde répétées des autorités, les marketplaces peinent à endiguer le phénomène. Il est donc de la responsabilité du consommateur de faire preuve de discernement. Un prix anormalement bas, des avis clients mentionnant des « suspicions de sécurité » ou une absence de marque claire sont autant de signaux faibles à ne pas ignorer.

Encadré : Que faire si vous possédez déjà une box générique ? Si vous avez déjà acheté ce type d’appareil, la première chose à faire est de le déconnecter immédiatement de votre réseau. Ensuite, réinitialisez-le aux paramètres d’usine si possible, mais sachez que cela ne supprimera pas les logiciels malveillants intégrés au firmware (la mémoire morte de l’appareil). La seule solution radicale pour garantir votre sécurité est de ne plus l’utiliser et de le remplacer par un modèle certifié. Considérez cet achat comme une perte financière, mais une victoire pour votre sécurité numérique à long terme.

Conclusion : Mieux vaut prévenir que guérir

L’enquête de Bitsight, confirmée par des années de mises en garde du FBI et de l’ANSSI, ne laisse aucun doute : les risques des box TV génériques sont bien réels et systémiques. Entre la fraude publicitaire massive orchestrée par le Fengwo Group, l’exploitation de votre connexion comme proxy résidentiel, et l’absence totale de sécurité, ces appareils compromettent votre sécurité, votre vie privée et celle de votre réseau. Les statistiques sont éloquentes : 38 000 appareils pour un seul réseau, générant 50 000 dollars de revenus illicites par jour. Et ce n’est que la partie émergée de l’iceberg, car Bitsight n’a analysé qu’un seul domaine parmi plusieurs.

Ne laissez pas une économie de quelques dizaines d’euros mettre en péril l’intégrité de votre foyer numérique. La sécurité commence par des choix éclairés. Optez pour des solutions certifiées, maintenez vos appareils à jour, et restez vigilant face aux offres trop belles pour être vraies. Votre cybersécurité n’a pas de prix, et votre tranquillité d’esprit est le meilleur des investissements. La vigilance est le maître-mot dans un monde où la frontière entre objet connecté et cheval de Troie devient de plus en plus mince. Protégez votre réseau, protégez vos données, et ne laissez pas un appareil à 30 euros compromettre l’intégralité de votre vie numérique.