Według doniesień Floryda, Iowa, Nebraska i Montana wniosły pozwy przeciwko TP-Link Systems. Iowa złożyła swój pozew 6 października 2026 r. i zarzuca firmie wprowadzające w błąd informacje o bezpieczeństwie routerów, powiązaniach z Chinami, łańcuchu dostaw i praktykach dotyczących danych.

Co Iowa zarzuca w sprawie routerów

W pozwie wniesionym na podstawie § 714.16 kodeksu stanu Iowa, dotyczącego oszustw konsumenckich, pozwaną jest TP-Link Systems Inc. Stan kwestionuje m.in. twierdzenia reklamowe dotyczące HomeShield oraz wybranych routerów. Zarzuty opisane w pozwie odnoszą się do konkretnych modeli i wersji.

W przypadku TL-WR940N pozew wskazuje podatność CVE-2023-50224 i zarzuca, że wykorzystali ją operatorzy botnetu Quad7 oraz rosyjski wywiad wojskowy GRU. W odniesieniu do Archer C7 wersji 2 i 3 Iowa zarzuca wykorzystanie routerów w działaniach Quad7 oraz brak obsługi automatycznych aktualizacji oprogramowania układowego.

Pozew wymienia też CVE-2023-1389 w Archer AX21 wersji 1–3. Osobno zarzuca, że AX21 v1 i v1.20 nie miały domyślnie włączonych automatycznych aktualizacji i osiągnęły koniec okresu wsparcia w maju 2024 r. W przypadku Archer AXE75 Iowa wskazuje CVE-2024-53375 i CVE-2025-15568.

Zarzuty dotyczące powiązań, dostaw i danych

Iowa zarzuca, że deklaracje dotyczące rozdzielenia działalności od chińskiej spółki nie oddają wszystkich powiązań firmy. Pozew twierdzi też, że w fabryce TP-Link w Wietnamie z tego kraju pochodziło zaledwie 0,5% komponentów, licząc według ich wartości, a pozostałe sprowadzano z Chin lub przez Chiny.

W sprawie aplikacji Iowa zarzuca, że zbierają m.in. adresy e-mail, dane o lokalizacji i identyfikatory telefonów, a polityki prywatności przewidują możliwość udostępniania informacji podmiotom powiązanym lub w celu przestrzegania prawa. Stan twierdzi, że informacje o ryzykach związanych z Chinami nie zostały odpowiednio ujawnione.

Stanowisko TP-Link i żądania Iowa

Według relacji TP-Link odrzucił zarzuty. Firma utrzymuje, że TP-Link Systems jest niezależną amerykańską spółką, a urządzenia przeznaczone na rynek USA są produkowane w Wietnamie.

Iowa wnosi o nakazy sądowe, powiadomienie klientów o routerach, które osiągnęły koniec wsparcia lub są objęte znanymi, aktywnie wykorzystywanymi podatnościami, oraz ujawnianie dat aktualizacji zabezpieczeń w miejscu sprzedaży. Żąda także zwrotu środków i przekazania bezprawnie uzyskanych korzyści. Wśród wnioskowanych kar cywilnych wymienia do 40 000 dolarów za każde naruszenie oraz do 5 000 dolarów dodatkowo za naruszenie dotyczące osoby starszej.

Komunikat prokurator generalnej Iowa z 6 października 2026 r. · Pozew Iowa