Florida, Iowa, Montana en Nebraska hebben op 6 oktober allemaal een rechtszaak aangespannen tegen routerfabrikant TP-Link Systems. Daarmee komt het totaal aantal Amerikaanse staten dat de in Californië gevestigde onderneming voor de rechter sleept op vijf: Texas deed dat al in februari. De zaken zijn aangespannen bij staatsrechtbanken op basis van consumentenbeschermingswetten en betreffen beschuldigingen, geen vaststaande feiten. TP-Link noemt de claims ongegrond en zegt zich te zullen verweren.
De staten verwijten TP-Link twee dingen. Ten eerste zou het bedrijf beveiliging adverteren die het niet levert: de klachten citeren de HomeShield-pagina, waarop staat dat de dienst “alle beveiligingsscenario’s” dekt, een tekst die op 9 oktober nog altijd online stond. Ze wijzen ook op gehackte routers en op modellen als de Archer AX21 die sinds mei 2024 geen updates meer krijgen. Ten tweede zou TP-Link zijn scheiding van China hebben overdreven. Het bedrijf zegt dat Amerikaanse routers in Vietnam worden gemaakt, maar volgens de klachten komt maar 0,5 procent van de onderdelen, naar waarde, daadwerkelijk uit Vietnam en de rest uit of via China. De apps Tether, Tapo, Deco en Kasa verzamelen bovendien e-mailadressen, locatiegegevens en apparaat-identificatoren, die volgens de klachten via een Chinese inlichtingenwet uit 2017 toegankelijk kunnen worden voor Chinese diensten.
Florida, Montana en Nebraska beweren niet dat de Chinese overheid al daadwerkelijk klantgegevens heeft gekregen, maar noemen dat een risico onder Chinese wetgeving. Iowa is stelliger en zegt dat TP-Link-firmware de Chinese overheid toegang geeft tot apparaten en data van Iowanen, al blijft ook die claim deels hypothetisch geformuleerd. Florida eist onder meer een permanent rechterlijk verbod en een boete van 10.000 dollar per opzettelijke overtreding, Nebraska wil dat TP-Link de herkomst van onderdelen en zijn banden met China openbaar maakt.
Eerdere aanvallen als onderbouwing
De klachten verwijzen naar eerdere incidenten om het veiligheidsrisico te onderbouwen: een Microsoft-botnet van gehackte, vooral TP-Link-routers uit 2024, een inbraak door Russische militaire hackers via CVE-2023-50224 in april 2026, en het Horse Shell-achterdeurtje dat onderzoeksbureau Check Point op routers aantrof. Geen van de staten beweert dat TP-Link zelf een achterdeurtje heeft ingebouwd. De claim dat de Chinese groepen Volt Typhoon en Flax Typhoon specifiek TP-Link-apparatuur gebruiken, steunt op congresgetuigenis uit 2025 zonder nadere onderbouwing; TP-Link betwist dat de groepen een voorkeur voor zijn routers hebben.
TP-Link-woordvoerder Steve Kovsky noemt de zaken “gebaseerd op valse uitgangspunten” die de nationale veiligheid niet vooruithelpen maar een Amerikaans bedrijf onterecht benadelen. Het bedrijf zegt al maanden documentatie te hebben overlegd waaruit blijkt dat Amerikaanse routers in Vietnam worden geproduceerd, en stelt geen klantnetwerkgegevens te delen met buitenlandse overheden. De zaken volgen kort op een brief van 21 staten aan de Amerikaanse telecomtoezichthouder FCC op 7 oktober, met dezelfde zorgen over beveiliging, Chinese banden en productieherkomst.
Nederlandse huishoudens en bedrijven met TP-Link-apparatuur hebben weinig aan de Amerikaanse rechtszaken zelf, die draaien om Amerikaans consumentenrecht. Wel is het, los van het merk, verstandig om te controleren of een router nog updates krijgt, end-of-life-modellen zoals de genoemde Archer AX21 te vervangen en beheerinterfaces nooit vanaf het internet bereikbaar te maken.
Bron: The Hacker News
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.