TP-Link enfrenta processos em cinco estados dos EUA por segurança de roteadores e vínculos com a China

A fabricante de roteadores TP-Link Systems enfrenta uma crescente pressão judicial nos Estados Unidos após quatro estados apresentarem ações contra a empresa em 6 de outubro. Flórida, Iowa, Montana e Nebraska se juntaram ao Texas, que iniciou um processo em fevereiro, acusando a companhia de fornecer informações potencialmente enganosas sobre a segurança de seus equipamentos e sua independência em relação à China.

As ações questionam a proteção oferecida pelos roteadores, a transparência sobre a origem dos componentes e os possíveis riscos relacionados ao tratamento de dados pessoais. A TP-Link nega as acusações e afirma que contestará os processos judicialmente.

Sediada em Irvine, na Califórnia, a TP-Link Systems passou por uma reestruturação em 2024 que a separou formalmente da chinesa TP-Link Technologies. Entretanto, os estados questionam se essa mudança resultou em uma independência operacional tão ampla quanto a anunciada.

Estados questionam segurança dos roteadores e transparência da empresa

Os processos apresentados por Flórida, Montana e Nebraska compartilham três acusações principais.

A primeira envolve declarações sobre a segurança dos produtos. Os documentos citam materiais publicitários do serviço HomeShield, que prometem proteção abrangente para diferentes cenários de segurança. Os estados argumentam que essas afirmações contrastam com o histórico de roteadores comprometidos e equipamentos que deixaram de receber atualizações.

Entre os exemplos estão duas versões do Archer AX21, cujo suporte foi encerrado em maio de 2024, segundo os processos.

A segunda acusação envolve a separação entre as operações norte-americanas e chinesas. Embora a TP-Link afirme que seus roteadores destinados aos Estados Unidos são fabricados no Vietnã, as ações alegam que apenas 0,5% do valor dos componentes utilizados na fábrica vietnamita tem origem no próprio país. O restante seria adquirido da China ou por meio de fornecedores chineses.

Os estados também citam uma reportagem da Bloomberg de abril de 2025, segundo a qual as duas empresas empregavam conjuntamente aproximadamente 11 mil pessoas na China.

A terceira questão está relacionada à privacidade. Aplicativos como Tether, Tapo, Deco e Kasa Smart coletam informações que incluem endereços de e-mail, localização e identificadores de dispositivos.

Segundo as ações, a legislação chinesa de inteligência de 2017 poderia criar riscos de acesso a esses dados por autoridades do país.

É importante destacar que os processos de Flórida, Montana e Nebraska não afirmam que o governo chinês tenha efetivamente obtido informações de clientes por meio da TP-Link. As alegações tratam de riscos potenciais.

O gabinete da procuradora-geral de Iowa, Brenna Bird, adotou uma linguagem mais contundente ao afirmar que o firmware dos dispositivos permitiria acesso do governo chinês a equipamentos e dados de moradores do estado, embora o próprio comunicado também descreva esse acesso como uma possibilidade.

Ataques anteriores envolveram milhares de roteadores comprometidos

As ações também mencionam campanhas de espionagem e ataques cibernéticos que utilizaram roteadores TP-Link comprometidos.

Em 2024, a Microsoft identificou uma rede de dispositivos domésticos e de pequenos escritórios controlados por hackers supostamente localizados na China. A infraestrutura era utilizada em ataques de password spraying, técnica que testa senhas comuns em diversas contas.

Segundo a Microsoft, os equipamentos TP-Link representavam a maior parte dessa rede, que mantinha aproximadamente 8 mil dispositivos comprometidos ativos em determinado momento.

Entretanto, a própria investigação reconheceu que roteadores de outros fabricantes também integravam a infraestrutura criminosa.

Em outro caso, o FBI informou que hackers associados à inteligência militar russa exploraram a vulnerabilidade CVE-2023-50224 em roteadores TP-Link. Os invasores modificaram configurações de DNS e coletaram senhas e tokens de autenticação.

A fabricante informou posteriormente que, com uma exceção, os produtos afetados pela vulnerabilidade já haviam atingido o fim de seu ciclo de suporte.

Os processos também mencionam as campanhas Volt Typhoon e Flax Typhoon, associadas a operações chinesas. A referência se baseia em um depoimento de 2025 de Rob Joyce, ex-diretor de cibersegurança da Agência de Segurança Nacional dos Estados Unidos (NSA), que afirmou que roteadores TP-Link estavam entre equipamentos de diferentes marcas explorados nessas campanhas.

A TP-Link contestou essa interpretação, afirmando que não havia evidências de preferência específica por seus produtos.

Os documentos judiciais não acusam a empresa de instalar deliberadamente mecanismos de acesso oculto em seus roteadores. O backdoor Horse Shell, mencionado nas ações, teria sido implantado por hackers associados ao governo chinês, conforme investigação da Check Point Research.

Cinco vulnerabilidades afetam 65 modelos de equipamentos

Além das disputas judiciais, cinco vulnerabilidades identificadas em equipamentos da linha Aginet, fornecidos por provedores de internet, ampliaram as discussões sobre a segurança dos produtos.

As falhas foram comunicadas à fabricante em dezembro de 2024 pela SEC Consult. A TP-Link publicou um comunicado de segurança em 10 de agosto, enquanto os pesquisadores divulgaram os detalhes técnicos em 8 de outubro.

Segundo a SEC Consult, a combinação das vulnerabilidades pode permitir que um invasor sem autenticação, com acesso à interface de gerenciamento pela rede, comprometa completamente determinados dispositivos e execute comandos com privilégios de administrador.

A principal vulnerabilidade, CVE-2025-30237, recebeu pontuação 8,7 no CVSS 4.0. Ela permite contornar a autenticação da interface web por meio de requisições especialmente elaboradas, possibilitando criar uma conta Superadmin e habilitar acesso remoto por SSH.

As cinco falhas apresentam características diferentes:

Vulnerabilidade	Impacto	CVSS 4.0
CVE-2025-30237	Execução de ações privilegiadas sem autenticação	8,7
CVE-2025-30238	Elevação de privilégios a partir de uma conta com permissões limitadas	8,6
CVE-2025-30239	Descriptografia de senhas armazenadas devido a chaves fixas por modelo	8,5
CVE-2025-30240	Leitura de arquivos por meio de dispositivo USB preparado	5,1
CVE-2025-30241	Execução de comandos do sistema operacional com privilégios elevados	8,6

A fabricante relaciona 65 modelos afetados, incluindo equipamentos das séries HB, HX, HC, EB, EC, EX, XC, XX e VX. Desses, 27 aparecem como afetados pelas cinco vulnerabilidades.

As falhas possuem requisitos diferentes de exploração, incluindo acesso à interface administrativa, credenciais válidas ou acesso físico ao equipamento. Os pesquisadores não esclareceram se a interface vulnerável pode ser acessada diretamente pela internet.

Embora existam correções, a distribuição das atualizações depende dos provedores de internet responsáveis pelos dispositivos. Em alguns casos, o firmware não está disponível para download direto pelos usuários.

A orientação é verificar a disponibilidade de atualizações na interface de gerenciamento ou no aplicativo do equipamento e, caso não exista uma versão corrigida, entrar em contato com o provedor.

Até a divulgação dos detalhes técnicos, não havia relatos de exploração dessas cinco vulnerabilidades em ataques reais, nem informações sobre quantos dispositivos já haviam recebido as correções.

Também não foram apresentadas evidências que relacionem essas falhas específicas às campanhas de espionagem mencionadas nos processos.

Autoridades pressionam órgão regulador dos Estados Unidos

A disputa também chegou à Federal Communications Commission (FCC), agência responsável pela regulamentação das comunicações nos Estados Unidos.

No dia seguinte à apresentação dos quatro novos processos, 21 procuradores-gerais estaduais enviaram uma carta à agência manifestando preocupações sobre o pedido da TP-Link para autorizar novos modelos de roteadores no mercado norte-americano.

O documento questiona as declarações de segurança da fabricante, sua relação com a China e a transparência sobre os possíveis riscos envolvendo dados pessoais.

Desde 23 de março, a FCC restringe a autorização de novos roteadores de consumo fabricados fora dos Estados Unidos, independentemente da nacionalidade da empresa responsável. Exceções dependem de uma aprovação condicional das autoridades competentes.

Equipamentos anteriormente autorizados podem continuar recebendo atualizações de software e firmware destinadas à proteção dos consumidores, conforme uma dispensa regulatória válida pelo menos até 1º de março de 2027.

A TP-Link afirma que seus roteadores já comercializados permanecem autorizados e que busca aprovação condicional para novos produtos.

A carta dos procuradores não solicita formalmente que a FCC negue ou suspenda as autorizações, mas pede que os riscos apontados sejam considerados antes da liberação dos equipamentos.

TP-Link rejeita acusações e promete defesa judicial

Em resposta aos processos, a TP-Link classificou as ações como baseadas em premissas falsas e afirmou que elas penalizam injustamente uma empresa norte-americana.

Segundo Steve Kovsky, responsável pelas relações corporativas da companhia, documentos apresentados aos reguladores demonstram que os equipamentos destinados ao mercado dos Estados Unidos são fabricados no Vietnã.

A empresa também declarou ser independente e não estar sob controle de governos estrangeiros, além de negar o compartilhamento de dados de redes de clientes com autoridades estrangeiras ou terceiros não autorizados.

Na esfera judicial, a Flórida solicita medidas permanentes contra as práticas contestadas, devolução de valores obtidos e multas de US$ 10 mil por violação intencional. Montana pede penalidades de até US$ 10 mil por infração, enquanto Nebraska também exige maior transparência sobre a origem dos produtos, os componentes e as vulnerabilidades conhecidas.

As acusações permanecem em discussão judicial. Até o momento, os processos não demonstram que a TP-Link tenha fornecido intencionalmente dados de clientes ao governo chinês ou instalado backdoors em seus equipamentos.