無料のSamsung・LGスマートTVアプリ、AIプロキシトラフィックにデバイスを悪用か

Samsung、LG、RokuなどのコネクテッドTV（CTV）プラットフォームで提供されている無料アプリが、ユーザーのスマートテレビをBright Dataが運営する商業用住宅型プロキシネットワークに密かに組み込んでいることが判明しました。これは2026年6月5日にInclude SecurityのリサーチャーBuchodiが公開した技術調査によるものです。

「無料コンテンツ」の提供を名目にパートナーアプリへ組み込まれたこのSDKは、常時電源が入っているスマートテレビを、Bright Dataの有料顧客が利用するAIウェブスクレイピングトラフィックの出口ノードに事実上変えてしまいます。しかも、従来のセキュリティ検査ツールによる検出を回避しながら動作します。

Samsung・LGスマートTVアプリによるデバイス悪用疑惑

Bright Dataは「1億5,000万件以上の住宅用IPアドレス」をコンセントベースのSDKで収集・提供するデータ収集企業で、CTVプラットフォームで消費者向けに提供される無料アプリにこのソフトウェアを組み込んでいます。

The Vergeが記録した代表的な事例として、RokuアプリのPetflixがあります。このアプリのオプトインダイアログには、「広告を減らしてPetflixを無料でお楽しみいただくために、Bright Dataがお客様のデバイスの空きリソースとIPアドレスを使用して、インターネット上の公開Webデータをダウンロードすることを許可していただきます」と記載されています。しかし、ダイアログには記載されていない重要な事実があります。SDKの公開クエリ可能な設定ファイルには、デフォルトの月間WiFi帯域幅として200GBが設定されており、同意UIで示唆されている「時々」という使用頻度とは大きくかけ離れています。

設定エンドポイント自体は認証が不要で、アプリバンドルIDとSDKバージョン文字列を指定するだけで、誰でもパートナーマニフェストの全内容、アイドル検知の閾値、国別帯域幅の階層、機能フラグを取得できます。

Include Securityの分析では、CTVハードウェアが住宅型プロキシエコノミーにとって特に魅力的な理由を説明しています。バッテリーで動作し、WiFiとモバイルデータ通信を切り替え、ユーザーが積極的に監視しているスマートフォンとは異なり、スマートテレビは常に電源に接続されており、高速WiFiに常時つながっていて、何時間もユーザーが離れたままになっていることが少なくありません。

SDKの設定にはこの特性が反映されており、アイドル検知ルールにignore_screen_on: trueとignore_on_call: trueが設定されています。つまり、CPU使用率が70%未満、メモリ使用率が90%未満であれば、ユーザーがコンテンツを視聴中であっても電話中であっても、サードパーティのスクレイピングトラフィックを中継する対象としてデバイスがみなされます。

MDMやエンドポイント検知ツールで管理されているモバイル端末と比較して、スマートテレビに対する企業や家庭でのセキュリティ管理は「事実上ゼロ」とも評されています。

Bright Dataの認証不要なパートナーマニフェストには、CTVに特化した複数の企業名が記載されています。PlayWorks Digital Ltdは400以上のCTVゲームタイトルを運営しており、Comcast、Sky、Cox、LG、Samsung、Vizio、Rokuを通じておよそ2億5,000万世帯のテレビへのリーチを主張しています。

別のパートナーであるCloudTVは125以上のTVブランドと15以上のOEMに統合されています。Longvision Media HK（LongTV）は香港とマレーシアで500万人のOTTユーザーにサービスを提供しています。月間ユーザー数2億5,000万〜8億2,000万人を誇るViber Media（Rakuten）も、韓国のモバイルパブリッシャーSupercentおよびインドのゲーム開発会社Moonfrog Labsとともにマニフェストに記載されています。

研究者は、マニフェストへの記載はある時点での統合の存在を確認するものであると強調した上で、現時点でリリース済みビルドを確認するにはアプリごとの検証が必要と述べています。

SDKはアプリ起動のたびに設定を取得した後、proxyjs.brdtnet.com:443への持続的なWebSocket接続を確立します。このドメインはAWS Global AcceleratorのIPアドレスに解決されます。提示されるTLS証明書はCN=*.luminatinet.comであり、これはBright Dataが2018年のリブランド前に使用していた社名Luminati Networksの旧ドメインです。このため、このホスト名はセキュリティ担当者にとってネットワークレベルの検知に利用できる信頼性の高い指標となります。

このプロトコルはメッセージ署名、HMAC、クライアント証明書、デバイス認証のいずれも用いないプレーンなJSONフレームを使用しており、研究者はこれを「一般的なC2（コマンド＆コントロール）よりも大幅にセキュリティが低い」と指摘しています。

特に注目すべきは、SDKが2つの独立したセキュリティ検査回避手法を採用している点です。コントロールプレーン（設定取得とテレメトリーping）では、URLSessionではなくAppleのCFHTTPMessageプリミティブを使用することで、一般的なモバイルアプリセキュリティのインストルメント手法を回避します。

データプレーン（実際のピアトンネル）ではNWConnectionを使用し、requiredInterfaceを物理的なWiFiまたはモバイルインターフェースにバインドすることで、ユーザーが設定したVPNを回避します。これは研究者の透過的TLS傍受環境によって実証されています。この2つの手法の組み合わせにより、いずれか一方だけに頼るセキュリティ担当者は、SDKの活動の半分しか観測できません。

SDKの設定には、国別の明示的な帯域幅ポリシーが含まれています。ウズベキスタンとオマーンのデバイスは、バッテリー残量が1%まで低下した状態でも中継を許可されており、日次上限は1GB、月次上限は30GBに設定されています。これは世界全体のデフォルト月次許容量500MBの60倍にあたります。

カタールとUAEのデバイスはグローバルデフォルトを下回る制限が適用されています。Include Securityは3層構造の防御策を推奨しています。具体的には、ルーターレベルでのproxyjs.brdtnet.com、proxyjs.luminatinet.com、clientsdk.bright-sdk.comのDNSブロッキング、*.brdtnet.comおよび*.luminatinet.comに対するTLS SNIフィルタリング、そして管理対象の企業デバイスに対しては、インストール済みアプリのバイナリ内のSwiftシンボルBrdWebSocketFacadeおよびBrdNetwork.DNSResolverを検出するMDMベースのバイナリスキャンです。

研究者は2026年5月11日にメールでBright Dataへ通知しましたが、公開前に返答はありませんでした。