セキュリティ

サムスン、スマートTVアプリに住宅プロキシSDKを禁止

知らないうちに、あなたの自宅回線が他人の通信経路として使われていた。ノルウェーのサイバーセキュリティ企業Mnemonic（ニーモニック）の調査が、その仕組みを実機で明らかにした。

情報の灯台

2026年8月4日 08:2200

パックマンが入口だった

サムスンのスマートTV向けアプリストアに、ユーザーの自宅回線を他人の通信経路として提供するSDK（ソフトウェア開発キット）を内蔵したアプリが複数あった。

際立っていたのはパックマンだ。サムスンが「編集部のおすすめ」としてホーム画面に推薦していたそのゲームに、Bright Data（ブライト・データ）のSDKが入っていた。

Bright Dataはイスラエルに拠点を置くデータ収集企業で、世界中の家庭の回線を経由してウェブにアクセスできる住宅プロキシ網を運営している。Spurの推計では、2026年7月時点でノルウェー最大の通信事業者テレノルの住宅光回線内だけで約3,000の出口ノードを抱えていた。

住宅プロキシとは、ハッカーやAI企業が「一般家庭からのアクセスに見せる」ために使う中継経路だ。データセンターからの通信は企業や研究機関が遮断しやすいが、家庭の回線を経由した通信は見分けがつかない。AI企業が大規模なウェブスクレイピングに利用しており、Mnemonicが出口ノードを通じて観測したトラフィックの多くも、LinkedInのプロフィール収集やAI学習用データの取得が目立ったという。

アプリの外皮と中身は別物

パックマンのアプリとしてサムスンのストアに登録されていたのは、わずか20行のHTMLコードだ。ゲーム本体もSDKの動作設定も、Play.Works（プレイ・ワークス）というゲーム会社のサーバーからその都度読み込まれる。サムスンが審査したのはそのHTMLだけで、実際に動くコードはサーバーから来る。

Mnemonicのハリソン・サンド（Harrison Sand）氏は「審査されたものと、実際に動いているものは必ずしも同じではない」と指摘する。

ウェブサーバーの設定1行で、4億台超のスマートTVを即座に出口ノードにできる とサンド氏は述べた。この数字はPlay.Worksが公表しているインストール台数だ。

Mnemonicの調査時点でパックマン自体のSDKは休眠状態だった。しかし別のゲーム（2048フットボールカップ）ではSDKが有効化されており、ユーザーに同意画面が表示されていた。同意した回線は、アプリを閉じた後も、削除するまで出口ノードとして動き続ける。この同意は、ソファに座ったままリモコンの1ボタンで完了する。次の画面に進もうとリモコンを押した子供が、知らずに同意していることもある。

サムスンの怠慢と、LGの先行

今年6月、脅威情報企業Spurが6,038本のLG・サムスン向けアプリをスキャンした調査を公開した。LGのwebOS向けアプリの42%超、サムスンのTizen OS向けアプリの26.5%以上に住宅プロキシSDKが含まれていた。

AmazonはFire TV向けにこの種のアプリを規約で禁止しており、RokuもBright DataのSDKを含むアプリを排除したと報じられていた。しかしLGとサムスンは長らく同等の方針を持っていなかった。

7月、LGが禁止方針を打ち出した。翌8月、TechCrunchがMnemonicの調査を報じてサムスンに取材した。サムスンも以下の声明を出した。

住宅プロキシ機能を組み込んだアプリの新規登録は既に制限している。住宅プロキシSDKを明示的に禁止するプラットフォーム全体のポリシーを整備中であり、該当する既存アプリの特定と削除を進めている。

スマートTVプラットフォームの住宅プロキシSDK対応状況

	Amazon Fire TV	LG webOS	Samsung Tizen OS
含有率（2026年6月調査）
含有率	—	42%超	26.5%
禁止方針
方針の有無	○	○	○
時期	記録なし	7月	8月
根拠	規約	声明	声明
執行の課題
監視状況	不明	整備中	整備中

※時期はいずれも2026年。含有率は脅威情報企業Spurが2026年6月に6,038本をスキャンした結果。Amazon Fire TVは調査対象外。Samsung Tizen OSは26.5%以上、LG webOSは42%超。RokuはBright Data製SDKを含むアプリを排除したと報じられているが、公式声明の確認が取れないため表外に記載。

禁止は宣言できる。執行は別の話

ポリシーを作るのは簡単だ。問題は執行にある。

サムスンの審査が届くのは「登録時のコード」だけで、その後サーバーから読み込まれるコンテンツやSDKの設定変更は審査の外にある。今後サムスンがSDKを含むアプリを規約違反として排除しても、開発者は申請時に無効化しておき、承認後に有効化することができる。

サンド氏はこの構造について、特に危険なのは「悪意を持った小規模開発者」だと指摘する。Bright Dataのように同意画面を設け、KYC（顧客確認）を実施する大手は少なくとも外から観察できる。ブランドも評判も持たず、本気で悪用する意図があり、誰にも注視されていない開発者は、同じ仕組みを同意画面なしで動かせる。

パックマンを「おすすめ」として前面に押し出していたプラットフォームが、取材を受けるまでその仕組みを放置していた。

スマートTVは電源を切っても通電し続ける。回線はつながったままで、画面だけが暗い。その時間、何が通っているかを確認できるのは、自分でルーターのログを読める人だけだ。