Florida, Iowa, Montana e Nebraska hanno avviato azioni legali contro TP-Link Systems, contestando al produttore di router comunicazioni ritenute ingannevoli sulla sicurezza dei dispositivi, sulla struttura societaria e sui rapporti con la Cina. Le cause, depositate il 6 ottobre, si basano sulle rispettive normative statali a tutela dei consumatori. Le contestazioni sono accuse contenute negli atti giudiziari e non costituiscono accertamenti definitivi.

Le contestazioni dei procuratori generali

Secondo i procuratori generali, alcune dichiarazioni commerciali avrebbero presentato i router come più protetti di quanto sostenuto dalle autorità. Le denunce richiamano vulnerabilità software, gestione degli aggiornamenti, durata del supporto e informazioni fornite agli acquirenti sulla fine del ciclo di vita dei prodotti.

Gli Stati sollevano inoltre dubbi sulle dichiarazioni relative all'indipendenza della società statunitense dalla Cina, sulla catena di fornitura e sulle pratiche di trattamento dei dati. Questi aspetti dovranno essere esaminati dai tribunali; gli atti non dimostrano, da soli, che dati degli utenti siano stati trasferiti a governi stranieri o che tutti i dispositivi del marchio siano compromessi.

La replica di TP-Link

TP-Link respinge le accuse e sostiene che le cause si fondino su presupposti errati. L'azienda afferma che la società statunitense opera in modo indipendente, che i prodotti destinati al mercato americano vengono fabbricati in Vietnam e che non condivide con governi stranieri i dati delle reti dei clienti.

La controversia si inserisce in un confronto normativo più ampio. Una coalizione di 21 procuratori generali ha chiesto alla Federal Communications Commission di valutare i rischi associati ai router TP-Link e le informazioni comunicate ai consumatori. In precedenza anche il Texas aveva promosso un'azione distinta contro il produttore.

Cosa possono fare gli utenti

Al di là dell'esito delle cause, proprietari e amministratori di rete possono ridurre il rischio verificando sul sito del produttore se il modello riceve ancora aggiornamenti di sicurezza e installando il firmware più recente. È opportuno sostituire la password amministrativa predefinita con una credenziale unica e robusta, disattivare l'amministrazione remota e il WPS quando non necessari e separare, se possibile, i dispositivi IoT dalla rete principale.

Se un router ha raggiunto la fine del supporto o non riceve patch da tempo, la sostituzione con un modello ancora mantenuto rappresenta la misura più prudente. Le organizzazioni dovrebbero inoltre censire i dispositivi esposti, monitorare i bollettini del produttore e pianificare la dismissione prima della scadenza del supporto.