Florida, Iowa, Nebraska en Montana zouden rechtszaken tegen TP-Link Systems hebben aangespannen, zo werd op 8 oktober 2026 gemeld. Iowa diende op 6 oktober 2026 een consumentenfraudeaanklacht in tegen TP-Link Systems Inc. De zaak richt zich op claims over routerbeveiliging, bedrijfsbanden met China, toelevering en appgegevens. De aankondiging van de Iowa Attorney General en de ingediende aanklacht dateren van 6 oktober.
Wat Iowa beweert over routerbeveiliging en updates
De aanklacht is ingediend op grond van Iowa Code § 714.16, de Iowa Consumer Fraud Act. Iowa betwist onder meer de beveiligingsclaims rond HomeShield en noemt vier routers: de TL-WR940N, Archer C7, Archer AX21 en Archer AXE75. De beschuldigingen in de aanklacht zijn geen rechterlijke vaststellingen.
Voor de TL-WR940N noemt Iowa kwetsbaarheid CVE-2023-50224 en stelt de staat dat operators van het Quad7-botnet en de Russische GRU die hebben misbruikt. Voor de Archer C7 gaat het om versies 2 en 3: volgens de aanklacht waren die betrokken bij Quad7-operaties en ondersteunden ze geen automatische firmware-updates.
De aanklacht noemt CVE-2023-1389 voor versies 1 tot en met 3 van de Archer AX21. Daarnaast stelt Iowa dat de versies v1 en v1.20 standaard geen automatische updates hadden ingeschakeld en in mei 2024 het einde van hun ondersteuningsperiode bereikten. Voor de Archer AXE75 noemt Iowa CVE-2024-53375 en CVE-2025-15568.
Beschuldigingen over bedrijfsstructuur, toelevering en appgegevens
Iowa stelt dat TP-Link Systems in 2024 de banden met TP-Link Technologies Co., Ltd. formeel verbrak, maar betwist dat de banden met China daarmee ophielden. De staat beweert ook dat slechts 0,5 procent van de componenten voor de Vietnamese fabriek, gemeten naar waarde, in Vietnam werd gekocht; de overige onderdelen zouden uit of via China zijn geïmporteerd.
Verder stelt de aanklacht dat TP-Link-apps gegevens verzamelen zoals e-mailadressen, locatiegegevens en identificatiegegevens van mobiele telefoons. Volgens Iowa geven privacyvoorwaarden TP-Link ook het recht gegevens met gelieerde bedrijven te delen of te verstrekken om aan de wet te voldoen.
TP-Links gemelde reactie en wat Iowa vraagt
TP-Link heeft de beschuldigingen volgens berichtgeving verworpen. Het bedrijf stelt dat TP-Link Systems een onafhankelijk Amerikaans bedrijf is en dat apparaten voor de Amerikaanse markt in Vietnam worden gemaakt.
Iowa vraagt de rechter onder meer om consumenten te waarschuwen voor routers die niet meer worden ondersteund of actief worden misbruikt, en om de datums van beveiligingsupdates bij verkoop bekend te maken. De staat vraagt daarnaast om civiele boetes tot 40.000 dollar per overtreding, met maximaal 5.000 dollar extra voor een overtreding tegen een oudere persoon, plus terugbetaling en afdracht van opbrengsten. Het zijn gevraagde maatregelen, geen toegekende boetes of vergoedingen.
