Android TV box inançlı mi sorusu, son haftalarda Türkiye’de de en çok sorulan teknoloji sorularından biri oldu. Sosyal medyada “temiz” ve “riskli” modelleri sıralayan listeler süratle yayılıyor. Fakat bu listelerin birden fazla kaynak göstermiyor ve kimi modelleri yanlış tarafa koyuyor.

Bu rehberde yalnız sağlam kaynaklarla doğrulanan bulguları derledik: Google’ın 3 Kasım 2026’da açıkladığı XCPE arka kapısı, FBI’ın uyardığı BadBox 2.0 operasyonu ve bir TV box’ın inançlı olup olmadığını kendi konutunuzda nasıl denetim edebileceğiniz. Ayrıyeten elinizdeki kutu riskliyse ne yapmanız gerektiğini de adım adım anlattık.

Google 1,3 milyon TV box’ta arka kapı buldu

Google, 3 Kasım 2026’da yayımladığı raporda 1,3 milyondan fazla Android TV kutusunda XCPE isimli bir arka kapı tespit ettiğini açıkladı. Google’a nazaran arka kapı, kutuların üreticisi Videostrong tarafından aygıt yazılımına bilerek yerleştirildi. Videostrong, Türkiye’de de satılan Mecool markalı kutuların üreticisi.

Arka kapıyı ilk fark eden güvenlik firması Synthient, ziyanlı kodu satın aldığı bir Mecool KM9 Pro Max kutusunda kutudan çıktığı üzere buldu. Arka kapı sistem yetkisiyle çalışıyor, Google Play Protect’i kapatıyor ve kullanıcıya sormadan uygulama kuruyor. Ele geçirilen kutuların birçok, konutunuzun internet irtibatını oburlarının trafiği için kullanan “konut proxy” ağlarına bağlanıyor. Google’ın dağılım haritasında Türkiye de yer alıyor, fakat Türkiye’deki aygıt sayısı açıklanmadı. Gelişmenin detaylarını Android TV kutularındaki arka kapı kapatıldı haberimizde anlatmıştık.

Google, Videostrong’un sertifikalı Android aygıt üretme lisansını iptal etti ve botneti yöneten sunucuları kapattı. Yeniden de kutuların içindeki kod yerinde duruyor. Fabrika ayarlarına sıfırlamak işe yaramıyor, zira arka kapı tekrar başlatmada kendini tekrar kuruyor.

BadBox 2.0: FBI’ın uyardığı operasyon

FBI, Haziran 2025’te BadBox 2.0 isimli operasyon için farklı bir uyarı yayımlamıştı. Güvenlik firması HUMAN’ın araştırmasına nazaran 1 milyondan fazla aygıt, 222 ülke ve bölgeden bu ağa bağlıydı. Etkilenen aygıtların büyük kısmı markasız ya da az bilinen, Google sertifikası olmayan TV box’lar, tabletler ve projektörlerdi.

Google’ın BadBox 2.0 operatörlerine açtığı davada etkilenen modeller arasında X88 Pro 10, T95, MXQ Pro ve QPLOVE Q9 isimleri geçiyor. Sosyal medyadaki birtakım listelerde “temiz” diye gösterilen X88 Pro ailesinin bu davada isminin geçmesi, kaynaksız listelere sebep güvenilmemesi gerektiğini de gösteriyor.

Sosyal medyadaki “temiz” ve “riskli” listeleri ne kadar yanlışsız?

Paylaşılan listelerin birçok hangi testle hazırlandığını söylemiyor. Synthient bile kendi bulduğu 182 model ismi için, bir model isminin tek başına aygıtın ziyanlı yazılım taşıdığını kanıtlamadığını vurguluyor. Tıpkı ada sahip kutular farklı fabrikalardan ve farklı yazılımlarla çıkabiliyor.

Bu sebeple bir kutunun inançlı olup olmadığına model listesine bakarak değil, aşağıdaki somut denetimlerle karar vermek daha hakikat. Listede ismi geçmeyen bir kutu da riskli olabilir, listede “riskli” görünen bir modelin farklı bir sürümü de pak çıkabilir.

Android TV box’ın inançlı olup olmadığı nasıl anlaşılır?

En süratli denetim, Google Play Store içinden yapılıyor. Kutunuzda Play Store’u açın, profil simgesine ya da Ayarlar’a girin ve Hakkında kısmına bakın. “Play Protect sertifikası” satırında “Cihaz sertifikalı” yazıyorsa kutu Google’ın uyumluluk testlerinden geçmiş demektir. “Sertifikasız” yazıyorsa ya da Play Store hiç yoksa dikkatli olmanız gerekir.

Google, XCPE olayında birtakım sertifikalı kutuların da etkilendiğini kabul etti; ziyanlı kod aygıt birinci açıldıktan sonra devreye giriyordu. Bu yüzden sertifika tek başına kâfi değil. Şu işaretlere de bakın:

• Kutuda “kullanılmayan internetinizi paylaşın, para kazanın” cinsinden uygulamalar varsa çabucak kaldırın.
• Kurmadığınız uygulamalar resen beliriyorsa ya da Play Protect kapalı geliyorsa kutu risklidir.
• Modem arayüzünde kutunun siz kullanmazken bile yoğun data gönderip göndermediğine bakın.
• Netflix, Disney+ ve YouTube üzere uygulamaların resmî sürümü yoksa kutu büyük olasılıkla sertifikasızdır.

Elinizdeki kutu riskliyse ne yapmalısınız?

Riskli olduğunu düşündüğünüz bir kutuyu evvel internetten ayırın. Fabrika ayarlarına sıfırlama XCPE ve BadBox tipi arka kapıları silmiyor, zira kod yazılımın değiştirilemeyen kısmında duruyor. Synthient ve Google’ın önerisi, bu kutuları büsbütün kullanımdan kaldırmak.

Kutuyu kullanmaya devam etmek zorundaysanız yalnız üreticinin resmî ve pak yazılımını yükleyin, bilinmeyen uygulama mağazalarını kaldırın ve kutuyu konut ağınızdaki bilgisayarlardan farklı bir konuk ağına bağlayın. Kutuda kullandığınız hesapların şifrelerini de değiştirin.

Güvenli TV box seçerken nelere dikkat etmeli?

Google, olayın akabinde kullanıcılara yalnız tanınmış üreticilerin aygıtlarını almalarını ve android.com/certified/partners adresindeki sertifikalı ortak listesine bakmalarını öneriyor. Xiaomi, Google, Nokia, onn, Homatics ve Thomson üzere markaların Google TV ya da Android TV sertifikasıyla satılan modelleri bu açıdan daha inançlı bir başlangıç noktası. Satın almadan evvel yeniden de kutunun Play Protect sertifikasını denetim etmenizi öneririz.

Fiyat da kıymetli bir işaret. Tıpkı özellikleri çok daha ucuza sunan markasız kutularda maliyet birden fazla vakit yazılıma yansıyor. Şimdiki tekliflerimiz için en düzgün Android TV box modelleri rehberimize de göz atabilirsiniz.

Sıkça sorulan sorular

Fabrika ayarlarına sıfırlamak arka kapıyı siler mi?

Hayır. XCPE ve BadBox 2.0 arka kapıları yazılımın sistem kısmına gömülü olduğu için sıfırlamadan sonra kendini tekrar kuruyor. Kalıcı tahlil, pak resmî yazılım yüklemek ya da kutuyu değiştirmek.

Google sertifikalı bir kutu büsbütün inançlı midir?

Sertifika riski büyük ölçüde azaltıyor lakin sıfırlamıyor. XCPE olayında birtakım sertifikalı kutular da etkilendi. Google bu sebeple sertifika sürecini ve yazılım bütünlüğü denetimlerini sıkılaştırdığını açıkladı.

Mecool kutum varsa ne yapmalıyım?

Google, Mecool markasının üreticisi Videostrong’un lisansını iptal etti. Kutunuzun yazılımına üreticiden inançlı bir güncelleme gelmediyse, en inançlı yol kutuyu internetten ayırıp değiştirmek.

TV box’ım konut ağımı nasıl riske atar?

Ele geçirilen kutu, internet ilişkinizi diğerlerinin trafiği için kullanabilir, reklam dolandırıcılığına katılabilir ve birebir ağdaki öbür aygıtlara hücum için bir giriş noktası olabilir. Yasa dışı trafik sizin IP adresinizden çıkmış üzere görünebilir.

Kaynak: Shiftdelete