TP-Link, quattro Stati USA fanno causa per sicurezza e legami con la Cina

🛡️ Executive Summary

• Florida, Montana, Iowa e Nebraska hanno avviato azioni coordinate contro TP-Link contestando dichiarazioni sulla sicurezza dei router e sulla separazione dalle attività cinesi.
• Le accuse riguardano vulnerabilità, dipendenza della supply chain dalla Cina e potenziali implicazioni delle leggi cinesi sull’intelligence, ma restano contestazioni giudiziarie ancora da provare.
• TP-Link respinge le accuse e sostiene di essere una società statunitense indipendente, con dispositivi per il mercato USA prodotti in Vietnam e senza controllo del governo cinese.

TP-Link entra nel mirino di quattro procuratori generali statunitensi e il problema non riguarda più soltanto una vulnerabilità o una campagna malware contro un determinato modello di router. Florida, Montana, Iowa e Nebraska hanno avviato il 6 ottobre azioni coordinate contro il produttore, contestando il modo in cui avrebbe rappresentato ai consumatori la sicurezza dei propri dispositivi, la separazione dalle precedenti attività cinesi e la struttura della propria supply chain. L’azienda respinge integralmente l’impostazione delle cause. Il punto giornalistico è quindi più ampio: quando un router diventa la porta d’ingresso di una rete domestica o aziendale, sicurezza tecnica, provenienza della componentistica e controllo societario finiscono nello stesso dossier geopolitico.

Quattro Stati contestano a TP-Link sicurezza dichiarata e rapporti con la Cina

L’azione più dettagliata pubblicamente accessibile arriva dal Nebraska, dove il procuratore generale Mike Hilgers sostiene nella comunicazione ufficiale sulla causa contro TP-Link che l’azienda avrebbe fornito una rappresentazione ingannevole sia della sicurezza dei router sia della separazione dalle proprie operazioni cinesi. Secondo l’accusa, TP-Link controllerebbe almeno il 60% del mercato retail statunitense dei sistemi Wi-Fi e dei router destinati a abitazioni e piccoli uffici, mentre una parte significativa delle attività di ricerca, sviluppo e produzione rimarrebbe collegata alla Cina. Il Nebraska sostiene inoltre che gran parte dei componenti impiegati nello stabilimento vietnamita arriverebbe dalla Cina o attraverso supply chain cinesi e che la costruzione dell’impianto avrebbe coinvolto un contractor con legami con l’apparato militare di Pechino. Sono allegazioni formulate dall’autorità statale e non fatti definitivamente accertati da un giudice, ma spostano il confronto dalla semplice origine geografica del prodotto alla possibilità che la catena industriale possa incidere sul rischio tecnologico e sulla veridicità delle promesse commerciali.

Leggi anche: Volt Typhoon minaccia Guam per sabotare USA in Taiwan

Il router domestico diventa un problema di sicurezza nazionale

Le cause sfruttano un punto debole ormai evidente nell’architettura digitale moderna: un router economico può trovarsi contemporaneamente dentro una casa, una piccola impresa, un ufficio professionale o una rete utilizzata per accedere a servizi sensibili, trasformando un dispositivo consumer in un potenziale nodo infrastrutturale. L’accusa del Nebraska richiama esplicitamente lo sfruttamento dei prodotti TP-Link da parte di attori riconducibili a intelligence russa e gruppi statali cinesi, ma anche qui bisogna separare i livelli di prova: il fatto che un modello vulnerabile venga compromesso da un APT non dimostra automaticamente che il produttore collabori con quell’attore né che la vulnerabilità sia stata inserita deliberatamente. Il problema operativo è piuttosto la quantità di apparati esposti e la loro capacità di diventare infrastruttura intermedia per attacchi difficili da attribuire. È uno scenario già emerso con TheMoon e migliaia di router trasformati in nodi di una rete malevola e, su un piano ancora più strategico, con le operazioni cinesi che hanno portato Washington a sanzionare Integrity Technology per i legami con attività APT. In questo contesto la sicurezza del router non viene più valutata soltanto sulla presenza di una CVE, ma sulla capacità del vendor di aggiornare rapidamente il firmware, documentare le vulnerabilità, controllare la supply chain e dimostrare chi possa accedere ai dati generati dai dispositivi.

TP-Link respinge le accuse e rivendica la propria indipendenza statunitense

TP-Link ha risposto il 6 ottobre con una dichiarazione ufficiale sulle cause presentate dai quattro procuratori generali, definendole costruite su premesse false e sostenendo che non contribuiscano alla sicurezza nazionale. La società afferma di essere un’azienda indipendente con sede in California, non posseduta né controllata dal governo cinese o dal Partito comunista cinese, e sostiene che i dispositivi venduti negli Stati Uniti siano prodotti in Vietnam. È il cuore dello scontro: gli Stati contestano che la separazione societaria e geografica abbia realmente spezzato le dipendenze operative dalla Cina, mentre TP-Link sostiene esattamente il contrario. L’azienda respinge anche l’idea che i propri prodotti concedano accessi non autorizzati a governi stranieri. Per questo il dossier non può essere ridotto alla formula “router cinesi insicuri”: dovranno essere dimostrati sia gli elementi tecnici relativi alla sicurezza sia quelli societari e industriali utilizzati dagli Stati per sostenere che le comunicazioni rivolte ai consumatori siano state ingannevoli.

Continua con:

Malware Cyclops Blink: router ASUS vulnerabili all’APT Sandworm

Cina attacca Telco e Tesoro USA e diffonde malware EAGERBEE

Il vero precedente è trasformare la supply chain in una promessa di sicurezza

La parte più significativa delle cause contro TP-Link non è quindi stabilire se un router possa essere violato, perché nessun produttore serio può promettere l’assenza assoluta di vulnerabilità, ma capire quali affermazioni possa fare un vendor quando vende sicurezza insieme alla connettività. Se una società dichiara indipendenza operativa, produzione separata, procedure Secure by Design e protezione dei dati, queste affermazioni diventano elementi verificabili e potenzialmente contestabili dalle autorità di tutela dei consumatori. È un cambio di prospettiva che avvicina cybersecurity e diritto commerciale: una supply chain opaca non costituisce automaticamente una backdoor e un rapporto industriale con la Cina non equivale a controllo governativo, ma la distanza tra ciò che un produttore promette e ciò che può documentare diventa essa stessa materia di enforcement. Per TP-Link, quindi, il rischio non è soltanto perdere una battaglia reputazionale negli Stati Uniti. Se le contestazioni dei quattro Stati dovessero trovare conferma, potrebbe essere messo in discussione il modello con cui uno dei maggiori produttori mondiali di networking consumer presenta sicurezza, provenienza e indipendenza della propria infrastruttura industriale.