Meerdere Amerikaanse staten hebben TP-Link aangeklaagd. De kern: volgens de aanklagers voldoet de gepresenteerde routerbeveiliging niet aan wat klanten is beloofd, en er zouden zorgen bestaan over de mate van scheiding van het bedrijf met China en over privacy-disclosures. TP-Link ontkent de beschuldigingen en zegt zich te zullen verweren in de rechtbank.
Wat opvalt, is dat de claims niet losstaan van technische incidenten en eerder gemelde kwetsbaarheden. Ook wijzen staten op aanvallen waarbij routers zijn ingezet in campagnes, en op firmware die niet in alle gevallen meer wordt ondersteund.
Hoeveel staten leggen TP-Link voor de rechter?
De rechtszaken stapelen zich op. Op 6 oktober dienden vier extra staten hun vordering in, waardoor het totaal op vijf uitkomt. Eerder spande Texas al een zaak aan in februari.
Florida, Iowa, Montana en Nebraska behoren tot de nieuwere klagers. Hun argumenten sluiten deels aan op elkaar: ze beschrijven een verschil tussen marketingclaims en wat klanten in de praktijk zouden krijgen, en ze noemen risico’s rond de relatie met China.
De beschuldiging: beveiligingsclaims kloppen niet
Volgens de staten gebruikte TP-Link in zijn communicatie voor consumenten een belofte over ingebouwde netwerkbescherming. In klachten wordt daarbij verwezen naar de eigen webpagina voor HomeShield, waarbij wordt gesteld dat de dienst alle beveiligingsscenario’s afdekt.
De aangeklaagde discrepantie zit volgens de staten in twee onderdelen. Ten eerste zouden routers in de werkelijkheid zijn gehackt, en ten tweede gaat het ook over modellen die volgens de klagers niet langer beveiligingsupdates ontvangen.
Een concreet voorbeeld dat terugkomt in de klachten is dat van bepaalde varianten van de Archer AX21. Die zouden volgens de aanklagers niet meer worden bijgewerkt; TP-Link zou volgens de klachten hebben aangegeven dat deze modellen in mei 2024 end-of-life zijn verklaard.
Separatie van China: “verschillende ownership” betwist
Een tweede beschuldiging draait om de uitleg die TP-Link geeft over de reorganisatie en scheiding van zijn eerdere structuur. De klachten citeren dat TP-Link na een herstructurering zou beschikken over volledig andere ownership, management en operationele aansturing dan het Chinese bedrijf.
De klagers zetten daar kanttekeningen bij. Ze wijzen naar gezamenlijke aanwezigheid in China en stellen dat de feitelijke toelevering en betrokkenheid via onderdelen en productieketens niet zo ver uiteenlopen als het bedrijf wil laten lijken.
TP-Link reageert daarop met het argument dat routers voor de Amerikaanse markt in Vietnam worden gemaakt. De klachten stellen echter dat slechts een klein deel van de onderdelen daadwerkelijk uit Vietnam afkomstig zou zijn, en dat de rest via of uit China zou komen.
Privacy en Chinese wetgeving: wat staat er wél en niet in disclosures?
De derde lijn in de klachten gaat over privacy. Volgens de staten verzamelen verschillende TP-Link apps (zoals Tether, Tapo, Deco en Kasa Smart) gegevens zoals e-mailadressen, locatie-informatie en telefoon-identifiers.
De aanklagers betogen dat een Chinese wet uit 2017 kan betekenen dat dergelijke data door Chinese inlichtingendiensten kan worden ingezien. Bovendien wordt er aangevoerd dat de privacydisclosures niet expliciet genoeg zouden zijn over dit soort risico’s.
In de eis van Florida gaat het onder meer om een permanent rechterlijk bevel en om geldsommen bij vermeende schendingen. Montana vraagt om bedragen per schending. Nebraska vraagt daarnaast om transparantie over herkomst van producten en onderdelen, over de banden met China, en over kwetsbaarheden die mogelijk al misbruikt zijn.
TP-Link: ontkenning en bereidheid om te procederen
TP-Link stelt dat de rechtszaken gebaseerd zijn op “false premises” en dat de klachten nationale veiligheid niet vooruithelpen, terwijl het wel een Amerikaanse onderneming die toonaangevend zou zijn oneerlijk zou straffen.
In de reactie legt TP-Link uit dat het volgens de onderneming documentatie aan staatsregulators heeft geleverd waaruit blijkt dat de betreffende apparaten in Vietnam worden geproduceerd. Ook zegt TP-Link dat het netwerkdata van klanten niet deelt met buitenlandse overheden of met onbevoegde derden.
Welke aanvallen worden genoemd in de onderbouwing?
Hoewel de rechtszaken vooral juridisch zijn ingestoken, verwijzen de klachten naar echte incidenten en onderzoeken. Zo wordt er gewezen op rapportages waarin een hackinggroep een netwerk bouwde van gehackte thuis- en kleine bedrijfsrouters. Dat botnet werd ingezet voor onder meer password-spray aanvallen: het proberen van veelvoorkomende wachtwoorden op meerdere accounts.
In die context wordt genoemd dat TP-Link-routers een groot aandeel zouden vormen van de geïnfecteerde apparaten. De klachten nemen daarbij verklaringen en rapportages over die eerder zijn gedaan door grote spelers in de securitywereld.
Daarnaast komt een kwetsbaarheid naar voren met een CVE-nummer (CVE-2023-50224) die volgens meldingen werd misbruikt voor het wijzigen van DNS-instellingen, en voor het verzamelen van inloggegevens en tokens. De klachten beschrijven ook dat TP-Link hierbij heeft aangegeven dat vrijwel alle getroffen producten inmiddels end-of-life waren.
Zijn er bewijzen voor een achterdeur?
In de klachten wordt volgens de aangeleverde tekst geen claim gedaan dat TP-Link zelf een achterdeur in de producten heeft ingebouwd. Wel wordt er gesproken over een backdoor die door een state-backed hackinggroep op apparaten zou zijn geplaatst, gebaseerd op onderzoek van een extern beveiligingsonderzoeksbureau.
Ook wordt er een onderscheid gemaakt tussen het Chinese bedrijf dat volgens overheidsvermeldingen onder een militaire categorie valt, en het bedrijf dat in de rechtszaken wordt aangesproken.
FCC-brief: zorgen over toestemming voor nieuwe routers
Los van de rechtszaken speelt er ook een regelgevend traject. In de Verenigde Staten heeft de FCC sinds 23 maart een beperking ingesteld voor nieuwe buitenlandse consumer routers die toestemming nodig hebben om verkocht te mogen worden. Er is een uitzondering voor routers die een zogenoemde Conditional Approval krijgen.
In verband daarmee hebben meerdere procureurs-generaal een brief gestuurd aan de FCC. Die brief noemt drie aandachtspunten: de beveiligingsclaims, de claims over scheiding van China en productie in Vietnam, en wat de privacydisclosures niet meenemen over Chinese wetgeving.
De brief vraagt niet om een directe afwijzing of vertraging, maar legt wel nadruk op het risico voor consumenten. Een van de aankondigers van de brief gaf aan dat de FCC het onderwerp volgens hem zorgvuldig zou moeten afhandelen voordat toestemming wordt gegeven voor nieuwe modellen.
Kwetsbaarheden in ISP-geleverde TP-Link-apparaten
Een belangrijk technisch onderdeel in de klachten richt zich op een productlijn die door internet service providers (ISPs) aan klanten wordt geleverd en onderhouden. Het gaat om mesh-systemen, routers en modems van TP-Link die de provider doorgaans updatet.
Volgens de klachten zijn vijf kwetsbaarheden aangehaald als bewijs dat beveiligingsproblemen zouden blijven terugkomen. TP-Link zou de kwetsbaarheden in augustus hebben gemeld, waarna onderzoekers in oktober de technische details publiceerden.
De onderzoekers beschrijven dat een aanvaller zonder authenticatie het getroffen apparaat volledig zou kunnen compromitteren en vervolgens commando’s met hoogste rechten kan uitvoeren. Voorwaarde is wel dat de aanvaller toegang heeft tot de webmanagementinterface van het apparaat. Niet iedereen is het erover eens hoe direct die interface bereikbaar is vanaf het internet, en dat blijft in de berichtgeving open.
De belangrijkste fout (met het CVE-nummer CVE-2025-30237) zou het mogelijk maken om de login-check te omzeilen. In de beschrijving kan een aanvaller zonder account een gebruiker met hoge privileges aanmaken en SSH-remote toegang inschakelen.
Opvallend is ook dat eigenaren mogelijk niet eenvoudig zelf een firmware-update kunnen downloaden. Volgens de advisories worden updates via de ISP geleverd en kan firmware voor provider-specifieke varianten niet publiek beschikbaar zijn. Gebruikers wordt aangeraden te controleren of er updates in de beheerinterface of app worden aangeboden; als dat niet zo is, ligt het initiatief bij de ISP.
Verder wordt vermeld dat er in de publicatie geen ‘workaround’ is opgenomen en dat er geen melding is gedaan van het aantal apparaten dat daadwerkelijk is gepatcht. Ook koppelt de informatie in de tekst de kwetsbaarheden niet direct aan de eerdere aanvallen en evenmin aan de beschuldigingen over China.
Wat betekent dit voor gebruikers?
Los van het juridische debat laat het hele dossier een praktijksignaal zien: routerbeveiliging gaat niet alleen over wat er op de verpakking of website staat. Het gaat ook over updatebeleid, bereikbaarheid van beheerinterfaces, en hoe snel en via welke route fixes bij eindgebruikers terechtkomen.
Als je TP-Link hardware gebruikt die via een ISP is geleverd, is het verstandig om alert te blijven op provider-updates en om te checken of je model nog beveiligingsondersteuning krijgt. Zeker bij apparaten die niet meer actief worden bijgewerkt, neemt het risico toe dat bekende fouten langere tijd blijven bestaan.
Daarnaast onderstreept het dossier dat privacy en supply-chain vragen niet “alleen” juridisch zijn. Als data en metadata worden verzameld, moeten organisaties transparant zijn over welke risico’s ze herkennen en hoe ze die mitigeren.
Gerelateerde artikelen om mee te lezen
- Flax Typhoon: 5 KEV-kwetsbaarheden op spoedpatch
- Google Domains getroffen door ccTLD DNS-hijacks
- Citrix waarschuwt voor NetScaler kwetsbaarheid: patch nu
Conclusie
De rechtszaken tegen TP-Link plaatsen de routerbeveiliging onder vuur door claims over bescherming, updatebereik en privacydisclosures te betwisten. Tegelijkertijd wijzen de klachten op technische context: eerdere aanvallen, meldingen over misbruik van routerfouten en kwetsbaarheden in apparaten die via ISPs bij klanten terechtkomen.
TP-Link ontkent de beschuldigingen en zegt zich te zullen verweren. Tot er rechterlijke duidelijkheid is, blijft het voor gebruikers vooral zaak om goed te letten op ondersteuning, updates en de manier waarop routerfixes uiteindelijk worden uitgerold.
Bron: https://thehackernews.com/2026/10/tp-link-sued-by-four-more-us-states.html
