Risques des boîtiers TV génériques : proxy résidentiel, fraude publicitaire et botnet

Imaginez un instant que le petit boîtier branché sur votre téléviseur ne se contente pas de diffuser vos séries préférées. Et s’il passait son temps, la nuit, à cliquer sur des publicités en se faisant passer pour un smartphone dernier cri ? Ce scénario n’est pas de la science-fiction. C’est la réalité mise au jour par une analyse approfondie de Bitsight, un leader de la gestion des risques numériques, relayée par le célèbre journaliste Brian Krebs. Depuis des années, le FBI et l’ANSSI alertent sur les risques des boîtiers TV génériques. L’enquête de Pedro Falé, chercheur chez Bitsight, révèle une dimension industrielle à cette menace : un réseau de fraude publicitaire utilisant l’intelligence artificielle et des techniques de spoofing avancées, orchestré par le groupe Fengwo. Cet article décortique le fonctionnement de cette arnaque, identifie les acteurs derrière ce réseau et vous donne les clés pour vous protéger, vous et votre foyer, de cette menace silencieuse mais bien réelle.

Boîtiers TV génériques : un risque bien réel pour votre réseau

Le double visage des box H96 : proxy résidentiel et fraude publicitaire

Les risques des boîtiers TV génériques ne se limitent pas à une simple question de performance. Ils engagent votre responsabilité numérique. En branchant un boîtier H96, vous intégrez potentiellement un nœud à un réseau criminel. L’analyse de Bitsight révèle un fonctionnement en deux temps, parfaitement optimisé par les fraudeurs. Lorsque la télévision est allumée (signal HDMI détecté), le boîtier agit comme un proxy résidentiel. Il loue votre adresse IP à des tiers, allant de l’entreprise de scraping agressive au cybercriminel cherchant à masquer ses traces. Lorsque la télévision est éteinte, le boîtier bascule en mode fraude publicitaire. Il exécute alors des routines complexes qui simulent le comportement d’un utilisateur humain naviguant sur des sites web générés par l’IA. Ce double usage maximise les revenus pour les fraudeurs, faisant de l’utilisateur la principale victime, à la fois complice involontaire et cible potentielle de poursuites judiciaires si son IP est utilisée pour des actes illicites.

« Nous avons remarqué que quelque chose clochait sérieusement. De multiples appareils se présentant comme des box Android TV se déclaraient comme des ’téléphones’. » - Pedro Falé, chercheur chez Bitsight.

Comment ces appareils détournent votre connexion

Le logiciel de proxy résidentiel est préinstallé en usine. Il transforme votre box TV en nœud d’un réseau privé virtuel inversé. Concrètement, votre bande passante est vendue à des anonymes. Si l’un d’eux commet un acte illégal (achat frauduleux, attaque informatique, téléchargement de contenu illicite), c’est votre adresse IP qui est tracée par les autorités. Dans la pratique, les utilisateurs ne découvrent souvent le problème que lorsque leur fournisseur d’accès à Internet (FAI) les contacte pour un usage anormal de la bande passante ou, pire, pour une réquisition judiciaire. Au-delà de l’aspect légal, ce détournement de connexion a un impact direct sur vos performances réseau : latence accrue, débits réduits et instabilité générale de votre connexion. Le boîtier devient un gouffre à données, consommant votre forfait sans que vous en ayez conscience.

Le fonctionnement de l’arnaque : quand le boîtier se fait passer pour un smartphone

Spoofing d’identité et sites web générés par IA

Le spoofing est la clé de voûte de cette fraude. Les boîtiers H96 usurpent l’identité de modèles de smartphones populaires (Samsung Galaxy, Huawei P, Xiaomi, Vivo). Pourquoi les mobiles ? Parce que le coût par clic (CPC) sur mobile est souvent plus élevé, et que la détection par les régies publicitaires y est plus complexe en raison de la diversité des configurations. Les sites visités sont des coquilles vides générées par l’IA. Le groupe Fengwo se vante de posséder plus de 120 000 ‘humains digitaux’ capables de générer du contenu. Ces sites couvrent des thématiques variées (finance, santé, jeux vidéo, musique) pour paraître légitimes aux yeux des algorithmes de vérification, mais ils n’ont qu’un seul but : héberger des publicités et générer des clics frauduleux. Bitsight a découvert que ces sites n’affichent des publicités que si l’appareil visiteur correspond au profil mobile usurpé des boîtiers H96, rendant la détection humaine classique quasi impossible. Si vous visitez ces sites depuis un ordinateur classique, ils apparaissent vides ou inoffensifs.

Le rôle clé du groupe Fengwo et de la plateforme Blockly

Bitsight a identifié le groupe Fengwo (Zhejiang Fengwo IoT Technology Ltd) comme le cerveau de l’opération. Pour industrialiser la création de sites de fraude, Fengwo utilise Blockly, un langage de programmation visuelle de Google initialement conçu pour l’apprentissage du code. Des opérateurs peu qualifiés peuvent assembler des blocs de code pour définir des routines de fraude : lancer un navigateur, visiter une page, gérer des onglets, cliquer sur une pub. Ce système réduit considérablement les coûts de main-d’œuvre. Un développeur de Fengwo a même mentionné que « seul un petit nombre de développeurs hautement qualifiés est nécessaire pour construire les images des unités d’exécution modèles », et que « les développeurs qui créent des unités d’exécution à partir de ces modèles ont des exigences techniques nettement inférieures, réduisant considérablement les coûts d’exploitation de l’entreprise ». Cette approche low-code/low-skill permet à Fengwo de déployer rapidement des variations de ses sites de fraude pour échapper aux blocages.

La fusion des systèmes de vision et de raisonnement

Pour garantir que les clics soient crédibles et échappent aux filtres anti-fraude, le groupe Fengwo a développé un système sophistiqué. Bitsight a observé que la plateforme « fusionne trois systèmes de vision et de raisonnement en une seule interface ». Cela permet aux boîtiers, déguisés en mobiles, d’identifier correctement une publicité sur une page web, de naviguer sur le site comme un humain (défilement, survol, clic) et de ne pas éveiller les soupçons des systèmes de détection de trafic non humain. C’est une guerre technologique silencieuse où les fraudeurs utilisent l’IA pour imiter l’humain.

La face cachée des box « pas chères » : un business juteux

Revenus estimés : 50 000 dollars par jour

Le business model est extrêmement rentable. Bitsight estime que la seule branche ‘fraude publicitaire’ du réseau Fengwo rapporte environ 50 000 dollars par jour. Ce chiffre est très conservateur, car il ne prend en compte qu’un seul domaine de commande et de contrôle (C2) sur lequel 38 000 boîtiers étaient actifs. À cela s’ajoutent les revenus de la location de proxy résidentiel, qui peuvent être tout aussi lucratifs. L’utilisateur, qui a payé son boîtier une trentaine d’euros, génère passivement des milliers d’euros par an pour les fraudeurs. Le groupe Fengwo utilise des coquilles juridiques à Hong Kong et Singapour pour collecter les revenus, une technique bien connue pour blanchir les profits et compliquer les enquêtes. Les applications malveillantes, signées numériquement par Zhejiang Fengwo IoT Technology Ltd, relient directement les boîtiers aux serveurs de commande, permettant aux enquêteurs de Bitsight de tracer l’ensemble de l’infrastructure.

Les risques pour l’utilisateur : sécurité, vie privée et bande passante

Au-delà de la fraude, ces boîtiers sont une passoire de sécurité. Ils sont notoirement vulnérables : absence de correctifs de sécurité, ports ouverts, mots de passe par défaut. En janvier 2026, Synthient a documenté comment des botnets ont asservi des millions de ces box en exploitant des failles dans le logiciel de proxy lui-même. Une fois infecté, votre boîtier peut être utilisé pour lancer des attaques DDoS, héberger du contenu illégal ou servir de point d’entrée vers votre réseau local, compromettant ainsi vos PC, NAS et autres appareils connectés. Les risques des boîtiers TV génériques sont donc systémiques : ils impactent votre sécurité, votre vie privée et la réputation de votre connexion Internet.

Comment se protéger ? Les bonnes pratiques pour un streaming sécurisé

Privilégier les marques certifiées et les OS officiels

La règle d’or est simple : évitez les marques inconnues à bas prix. Privilégiez les appareils de marques reconnues (Google, Nvidia Shield, Apple TV, Amazon Fire TV). Ces appareils utilisent une version officielle d’Android TV ou de tvOS et reçoivent des mises à jour de sécurité régulières. Ne vous fiez pas aux avis d’influenceurs sur les réseaux sociaux. Un boîtier à 30 euros n’a pas de secret industriel : il est subventionné par la revente de vos données et de votre bande passante. L’adage est simple : si le produit est gratuit (ou anormalement bon marché), c’est vous le produit.

Vérifier la certification Android TV et Google Play Protect

Google propose un processus de vérification pour les appareils Android TV. Assurez-vous que le boîtier est certifié par Google et qu’il dispose du Play Store officiel. L’absence de certification est un signal d’alarme quasi-certain. Voici les trois signes qui doivent vous alerter :

1. Prix anormalement bas : moins de 50 euros pour un boîtier Android TV.
2. Absence de marque reconnue : des noms comme H96, X96, MXQ, T95 sont des indicateurs de risque.
3. Applications inconnues préinstallées : présence d’applications que vous n’avez pas installées et qui ne font pas partie de l’OS standard.

Surveiller les appareils connectés sur son réseau

Si vous possédez déjà un boîtier suspect, la meilleure solution est de le débrancher immédiatement. Vous pouvez aussi analyser le trafic réseau. Un volume de données sortant anormal, surtout vers des serveurs en Chine ou en Russie, est un indicateur fort. Des outils comme Pi-hole peuvent vous aider à bloquer les requêtes vers les domaines malveillants (comme ceux du groupe Fengwo). Synthient maintient une liste des appareils IoT connus pour embarquer des proxys résidentiels. Consultez-la avant tout achat. L’ANSSI recommande également de segmenter son réseau : isolez vos objets connectés sur un réseau WiFi dédié, sans accès à vos données sensibles.

L’ampleur du phénomène : des millions d’appareils déjà compromis

Les recommandations de l’ANSSI et du FBI

L’Agence nationale de la sécurité des systèmes d’information (ANSSI) et le FBI alertent régulièrement sur ces menaces. Le FBI a explicitement mis en garde contre les box TV génériques et les cadres photo numériques non certifiés. L’ANSSI, dans ses guides de bonnes pratiques, recommande de segmenter son réseau. Idéalement, les objets connectés devraient être isolés sur un réseau WiFi dédié, sans accès aux ordinateurs ou aux smartphones contenant des données sensibles. La lutte contre ces réseaux est complexe et nécessite une action conjointe des législateurs, des plateformes e-commerce et des utilisateurs.

Liste des appareils sous surveillance

Voici une liste non exhaustive des types d’appareils pointés du doigt par les chercheurs. Soyez particulièrement vigilant si vous possédez un appareil correspondant à ces descriptions.

Conclusion : pourquoi il faut absolument éviter les boîtiers TV génériques

L’enquête de Bitsight et les révélations de Brian Krebs sont un électrochoc nécessaire. Elles démontrent que les risques des boîtiers TV génériques sont systémiques et parfaitement organisés. Derrière la promesse d’un divertissement à bas coût se cache un réseau criminel qui exploite votre matériel, votre bande passante et votre identité numérique. La solution est simple et radicale : investissez dans un appareil de marque, certifié, maintenez-le à jour et restez sceptique face aux offres trop alléchantes. Votre sécurité numérique en dépend. Ne laissez pas un appareil à 30 euros compromettre l’ensemble de votre vie numérique.