Android TV Box Güvenli mi? Riskleri Nasıl Kontrol Edilir?

Android TV kutuları, televizyonlara uygulama ve yayın özellikleri eklemek için kullanılan pratik cihazlar. Ancak düşük fiyatlı veya az bilinen modellerde yazılım güvenliği konusunda ciddi soru işaretleri bulunuyor. Google’ın 3 Kasım 2026’da açıkladığı bulgular, riskin yalnızca teorik olmadığını ortaya koydu: Şirket, 1,3 milyondan fazla Android TV kutusunda XCPE adlı bir arka kapı tespit etti.

Google’a göre zararlı kod, cihaz yazılımına üretici Videostrong tarafından yerleştirilmişti. Şirket, Türkiye’de de satılan Mecool markalı kutuların üreticisi. Güvenlik firması Synthient’in satın aldığı Mecool KM9 Pro Max cihazında arka kapının kutudan çıkarıldığı hâliyle bulunması, sorunun kullanıcıların sonradan yüklediği uygulamalardan kaynaklanmadığını gösteriyor.

XCPE, sistem yetkileriyle çalışabiliyor; Google Play Protect’i devre dışı bırakıyor ve kullanıcıdan onay almadan uygulama kurabiliyor. Ele geçirilen cihazların önemli bir bölümü, evdeki internet bağlantısını başka kişilerin çevrim içi trafiği için kullanan konut proxy ağlarına bağlandı. Google’ın yayımladığı dağılım haritasında Türkiye de yer aldı; ancak ülkedeki cihaz sayısı açıklanmadı.

XCPE ve BadBox 2.0 arasındaki fark

Google, Videostrong’un sertifikalı Android cihaz üretme lisansını iptal etti ve botneti yöneten sunucuları kapattı. Fakat bu müdahaleler cihazın içindeki zararlı yazılımı otomatik olarak silmiyor. Üstelik fabrika ayarlarına dönmek de çözüm değil: Arka kapı, cihaz yeniden başlatıldığında kendisini tekrar kurabiliyor. Bu nedenle riskli bir kutuyu sıfırlamak, onu güvenli hâle getirmek için yeterli kabul edilemiyor.

XCPE, FBI’ın Haziran 2025’te uyardığı BadBox 2.0 operasyonundan ayrı bir vaka. Güvenlik firması HUMAN’ın araştırmasına göre BadBox 2.0 ağına 222 ülke ve bölgeden 1 milyondan fazla cihaz bağlandı. Etkilenen ürünlerin çoğu, Google sertifikası bulunmayan markasız veya az bilinen TV kutuları, tabletler ve projektörlerdi. Her iki olay da Android çalıştıran her cihazın aynı güvenlik düzeyine sahip olmadığını gösteriyor.

Bu ayrım önemli: Bir modelin internette riskli cihaz listelerinde yer alması tek başına doğrulanmış kanıt sayılmaz. Güvenlik değerlendirmesinde üretici, Google sertifikası ve cihazda görülen olağan dışı davranışlar birlikte ele alınmalı. Paylaşılan listelerin kaynağı yoksa, belirli bir modeli kesin biçimde güvenli ya da zararlı ilan etmek doğru olmaz.

Android TV kutusunun sertifikasını kontrol edin

İlk kontrol için cihazda Google Play Store’u açın. Profil simgesine dokunup ayarlara, ardından “Hakkında” bölümüne gidin. Burada Play Protect sertifika durumu gösterilir. “Cihaz sertifikalı” ifadesi, cihazın Google’ın sertifikasyon sürecinden geçtiğini belirtir. Sertifikalı görünmemesi tek başına cihazda zararlı yazılım bulunduğunu kanıtlamaz; ancak temkinli yaklaşmak için bir işarettir.

Kontrol sırasında cihazın ayarlarından Android sürümüne ve güvenlik güncellemesi bilgilerine de bakın. Üreticinin kim olduğu açık değilse, güncelleme sunulmuyorsa veya kutu Play Store yerine uygulamaları belirsiz kaynaklardan kurmaya yönlendiriyorsa güvenlik riski artabilir. Kullanmadığınız uygulamaları kaldırın ve bilmediğiniz kaynaklardan APK yüklemeyin. Bununla birlikte XCPE gibi sistem düzeyinde çalışan bir arka kapı söz konusuysa, bu adımlar tek başına temizleme garantisi vermez.

Cihazda sizin yüklemediğiniz uygulamalar beliriyorsa, Play Protect kapanmışsa ya da ağ kullanımında açıklayamadığınız bir artış görüyorsanız kutuyu ev ağından ayırmak ihtiyatlı bir yaklaşım olur. Şüpheli cihazı sıfırlayıp kullanmaya devam etmek yerine üreticiden doğrulanmış bir güvenlik çözümü olup olmadığını öğrenin. XCPE vakasında Google’ın sunucuları kapatması önemli bir müdahale olsa da arka kapının cihazlarda kalması, üretici desteğinin ve güvenilir yazılım geçmişinin neden satın alma kararında hesaba katılması gerektiğini gösteriyor.

Yeni kutu seçerken nelere bakılmalı?

Android TV kutusu alırken yalnızca işlemci, bellek veya fiyat gibi donanım özelliklerine odaklanmayın. Üreticinin kimliğinin açık olması, Google Play Protect sertifikasının bulunması ve yazılım güncellemeleri hakkında bilgi vermesi de seçimde rol oynamalı. Özellikle markasız, desteği belirsiz ürünlerde sertifika durumunu satın almadan önce satıcıdan doğrulamak yararlı olabilir.

Google’ın açıkladığı XCPE vakası, Android TV kutularında güvenliğin cihazın üzerinde Android yazmasından ibaret olmadığını ortaya koyuyor. Sertifika kontrolü tüketiciye başlangıç noktası sağlar; ancak cihazın geçmişi ve üreticinin güncelleme yaklaşımı da önem taşır. Şüpheli bir modelde arka kapı tespit edilmişse, fabrika ayarlarına dönmenin sorunu çözeceğini varsaymamak gerekir.