Android TV box güvenli mi? Riskli modeller

Android TV box güvenli mi? Google'ın XCPE ve FBI'ın BadBox 2.0 bulgularıyla riskli modelleri, kutunuzu nasıl kontrol edeceğinizi ve güvenli seçim yollarını derledik.

Android TV box güvenli mi sorusu, son haftalarda Türkiye'de de en çok sorulan teknoloji sorularından biri oldu. Sosyal medyada "temiz" ve "riskli" modelleri sıralayan listeler hızla yayılıyor. Ancak bu listelerin çoğu kaynak göstermiyor ve bazı modelleri yanlış tarafa koyuyor.

Bu rehberde yalnız güvenilir kaynaklarla doğrulanan bulguları derledik: Google'ın 3 Kasım 2026'da açıkladığı XCPE arka kapısı, FBI'ın uyardığı BadBox 2.0 operasyonu ve bir TV box'ın güvenli olup olmadığını kendi evinizde nasıl kontrol edebileceğiniz. Ayrıca elinizdeki kutu riskliyse ne yapmanız gerektiğini de adım adım anlattık.

Google 1,3 milyon TV box'ta arka kapı buldu

Google, 3 Kasım 2026'da yayımladığı raporda 1,3 milyondan fazla Android TV kutusunda XCPE adlı bir arka kapı tespit ettiğini açıkladı. Google'a göre arka kapı, kutuların üreticisi Videostrong tarafından cihaz yazılımına bilerek yerleştirildi. Videostrong, Türkiye'de de satılan Mecool markalı kutuların üreticisi.

Arka kapıyı ilk fark eden güvenlik firması Synthient, zararlı kodu satın aldığı bir Mecool KM9 Pro Max kutusunda kutudan çıktığı gibi buldu. Arka kapı sistem yetkisiyle çalışıyor, Google Play Protect'i kapatıyor ve kullanıcıya sormadan uygulama kuruyor. Ele geçirilen kutuların çoğu, evinizin internet bağlantısını başkalarının trafiği için kullanan "konut proxy" ağlarına bağlanıyor. Google'ın dağılım haritasında Türkiye de yer alıyor, ancak Türkiye'deki cihaz sayısı açıklanmadı. Gelişmenin ayrıntılarını Android TV kutularındaki arka kapı kapatıldı haberimizde anlatmıştık.

Google, Videostrong'un sertifikalı Android cihaz üretme lisansını iptal etti ve botneti yöneten sunucuları kapattı. Yine de kutuların içindeki kod yerinde duruyor. Fabrika ayarlarına sıfırlamak işe yaramıyor, çünkü arka kapı yeniden başlatmada kendini tekrar kuruyor.

BadBox 2.0: FBI'ın uyardığı operasyon

FBI, Haziran 2025'te BadBox 2.0 adlı operasyon için ayrı bir uyarı yayımlamıştı. Güvenlik firması HUMAN'ın araştırmasına göre 1 milyondan fazla cihaz, 222 ülke ve bölgeden bu ağa bağlıydı. Etkilenen cihazların büyük kısmı markasız ya da az bilinen, Google sertifikası olmayan TV box'lar, tabletler ve projektörlerdi.

Google'ın BadBox 2.0 operatörlerine açtığı davada etkilenen modeller arasında X88 Pro 10, T95, MXQ Pro ve QPLOVE Q9 adları geçiyor. Sosyal medyadaki bazı listelerde "temiz" diye gösterilen X88 Pro ailesinin bu davada adının geçmesi, kaynaksız listelere neden güvenilmemesi gerektiğini de gösteriyor.

Sosyal medyadaki "temiz" ve "riskli" listeleri ne kadar doğru?

Paylaşılan listelerin çoğu hangi testle hazırlandığını söylemiyor. Synthient bile kendi bulduğu 182 model adı için, bir model adının tek başına cihazın zararlı yazılım taşıdığını kanıtlamadığını vurguluyor. Aynı ada sahip kutular farklı fabrikalardan ve farklı yazılımlarla çıkabiliyor.

Bu nedenle bir kutunun güvenli olup olmadığına model listesine bakarak değil, aşağıdaki somut kontrollerle karar vermek daha doğru. Listede adı geçmeyen bir kutu da riskli olabilir, listede "riskli" görünen bir modelin farklı bir sürümü de temiz çıkabilir.

Android TV box'ın güvenli olup olmadığı nasıl anlaşılır?

En hızlı kontrol, Google Play Store içinden yapılıyor. Kutunuzda Play Store'u açın, profil simgesine ya da Ayarlar'a girin ve Hakkında bölümüne bakın. "Play Protect sertifikası" satırında "Cihaz sertifikalı" yazıyorsa kutu Google'ın uyumluluk testlerinden geçmiş demektir. "Sertifikasız" yazıyorsa ya da Play Store hiç yoksa dikkatli olmanız gerekir.