130万台电视盒子，出厂前就被植入后门。用户买的是设备，别人看上的却是你家的宽带和IP。

谷歌近日披露了一起大规模智能设备供应链安全事件，调查指向深圳视壮科技（Videostrong）。

根据谷歌的报告，这些电视盒子在出厂前就被植入了恶意组件，设备的远程访问权限还被用于商业化出售。

什么意思？

你在家正常看电视，盒子可能已经在后台充当住宅代理，利用你的宽带和真实IP替别人转发流量，甚至被用于广告欺诈和安装其他恶意软件。

更值得关注的是，恶意代码并没有在认证测试阶段暴露，而是在设备首次开机后才加载，绕过了部分安全检测。

谷歌已经关闭相关控制基础设施，并终止与该厂商的认证合作。

但这里有两个问题值得追问：

认证测试为什么没能发现预装的恶意组件？
控制服务器关闭后，已经售出的130多万台设备如何彻底清除后门？

这起事件真正值得警惕的，不只是受控设备数量，而是攻击入口已经前移到了设备制造和固件供应链。

以前担心的是买回来的设备被黑，现在还得担心设备买回来之前就已经被控制了。