Техас против TP-Link

17 февраля генпрокурор Техаса Ken Paxton подал иск против TP-Link Systems — крупнейшего производителя домашних роутеров в США с 65% рыночной доли (по мнению прокурора).
Обвинения интересные: обманчивый маркетинг и потенциальный доступ Китая к данным американцев через уязвимости в продуктах.

Центральный аргумент иска — наклейка "Made in Vietnam" на роутерах. TP-Link действительно собирает устройства во Вьетнаме, но почти все компоненты импортируются из Китая. Вьетнамские фабрики выполняют только финальную сборку — менее 1% производственного процесса. Paxton называет это обманом потребителей, хотя такая практика стандартна для всей индустрии электроники. Apple делает то же самое с iPhone.

Второй блок обвинений связан с китайскими законами о разведке. Китайский National Intelligence Law от 2017 года обязывает компании и граждан сотрудничать с разведслужбами. Логика иска: раз supply chain проходит через Китай, данные могут уйти властям КНР по запросу. TP-Link это категорически отрицает, заявляя, что компания американская, их CEO (китаец) живёт в Калифорнии, данные пользователей хранятся на серверах AWS в США, и никаких связей с компартией нет.

Технические факты, впрочем, тоже прилагаются. Microsoft в октябре 2024 писал, что китайская группа Storm-0940 контролирует сеть из тысяч скомпрометированных роутеров TP-Link, используемую для атак на западные think tanks, правительственные организации и поставщиков Минобороны США. Check Point в 2023 году зафиксировал эксплуатацию уязвимостей прошивки группой Camaro Dragon.

При этом иск не обвиняет TP-Link в намеренных бэкдорах. Речь идёт о том, что компания знает об уязвимостях, но продолжает заявлять о "высокой безопасности" в маркетинге.

Политический контекст добавляет циничности. Иск подан в первый день досрочного голосования — Paxton баллотируется в Сенат против действующего республиканца. Это первый из обещанной серии исков против "компаний, связанных с КПК". Ранее он также подал на китайских производителей телевизоров Hisense и TCL. Три федеральных ведомства ранее уже расследовали TP-Link, все ожидали полного запрета на продажу в США — но на федеральном уровне его так и не ввели.

Вопрос остаётся философским: можно ли доверять оборудованию, чья supply chain проходит через геополитического противника? И если нет — то что делать с остальной электроникой? А вот использование законов о защите прав потребителей для решения вопросов национальной безопасности — это новинка.

@gostev_future