Pet saveznih država tuži TP-Link zbog bezbednosti rutera
Tužbe se proširuju na pet saveznih država
Florida, Ajova, Montana i Nebraska podnele su 6. oktobra tužbe protiv kompanije TP-Link Systems, čime je, uz postupak koji je Teksas pokrenuo u februaru, ukupan broj saveznih država u sporu dostigao pet. Države tvrde da je kompanija kupce dovodila u zabludu u vezi sa bezbednošću rutera i stepenom odvojenosti od Kine. TP-Link Systems posluje iz Irvajna u Kaliforniji i najavljuje da će osporavati navode pred sudom.
Postupci su zasnovani na zakonima o zaštiti potrošača. Tužbe Floride, Montane i Nebraske imaju gotovo podudarne delove: osporavaju marketinške tvrdnje o zaštiti, prikaz restrukturiranja iz 2024. godine i obaveštenja o privatnosti. TP-Link je tada organizaciono odvojen od kineske kompanije TP-Link Technologies, koja nije tužena strana.
Države ne tvrde da je kineska vlada pribavila podatke korisnika kroz TP-Link uređaje. U tužbama se, međutim, ukazuje na rizik koji povezuju sa kineskim zakonodavstvom. Navode se i podaci koje prikupljaju aplikacije Tether, Tapo, Deco i Kasa Smart, uključujući adrese e-pošte, lokaciju i identifikatore telefona.
Bezbednosne tvrdnje i poznati napadi
Jedna od ključnih zamerki odnosi se na HomeShield, ugrađenu uslugu zaštite mreže. Tužbe citiraju tvrdnju da usluga pokriva „sve bezbednosne scenarije“, nasuprot primerima kompromitovanih uređaja i modela za koje su prestala ažuriranja. Kao primer se navode dve verzije Archer AX21, za koje je podrška, prema navodima tužbi, završena u maju 2024. godine.
U pritužbama se pominju stvarni incidenti, ali se ne tvrdi da je TP-Link ugradio zadnja vrata u svoje proizvode. Microsoft je 2024. opisao mrežu kompromitovanih malih kancelarijskih i kućnih rutera korišćenu za password-spray napade, u kojoj su TP-Link ruteri činili većinu od prosečno 8.000 aktivnih kompromitovanih uređaja. FBI je u aprilu saopštio da su hakeri ruske vojne obaveštajne službe iskorišćavali ranjivost CVE-2023-50224 za izmenu DNS podešavanja i prikupljanje lozinki i tokena za prijavu.
Kompanija odbacuje tužbene navode. U saopštenju je navela da su postupci zasnovani na pogrešnim pretpostavkama, da su uređaji za američko tržište proizvedeni u Vijetnamu i da TP-Link Systems nije u vlasništvu niti pod kontrolom strane vlade. Takođe navodi da ne deli podatke o korisničkim mrežama sa stranim vladama ili neovlašćenim trećim stranama.
Pet propusta u Aginet opremi za provajdere
Florida, Montana i Nebraska kao dodatni pokazatelj bezbednosnih problema navode pet ranjivosti u Aginet mrežnoj opremi koju internet provajderi isporučuju korisnicima. Istraživači kompanije SEC Consult objavili su tehničke detalje 8. oktobra, dok je TP-Link propuste objavio 10. avgusta. Prema SEC Consultu, kombinacija propusta može omogućiti neautentifikovanom napadaču na istoj mreži da potpuno preuzme pogođeni uređaj i izvršava komande sa najvišim privilegijama.
Najozbiljniji propust, CVE-2025-30237, omogućava zaobilaženje provere prijave posebno oblikovanim veb zahtevima. Napadač tada može da kreira nalog „Superadmin“ i uključi SSH pristup. TP-Link navodi 65 pogođenih modela iz više serija, dok zakrpe za verzije koje prilagođavaju provajderi često nisu javno dostupne za direktno preuzimanje. Korisnici treba da provere upravljački interfejs ili aplikaciju, a ako ažuriranje nije ponuđeno, da se obrate svom provajderu.
Šta preduzeća treba da provere
Ovi postupci razdvajaju pravne tvrdnje od potvrđenih tehničkih činjenica: ranjivosti postoje i zakrpe su objavljene, ali objavljena obaveštenja ne prijavljuju napade koji ih koriste niti ih povezuju sa ranije opisanim kampanjama. Za poslovanje je praktičan prioritet inventar rutera i opreme koju održava provajder, provera statusa podrške, potvrda instalirane verzije firmvera i jasno ugovaranje odgovornosti za bezbednosna ažuriranja.