رفعت أربع ولايات أمريكية إضافية دعاوى قضائية ضد شركة TP-Link Systems المصنعة لأجهزة التوجيه (الراوترات) في السادس من أكتوبر، ليرتفع بذلك إجمالي الولايات المدعية إلى خمس، بعد أن كانت تكساس قد رفعت دعواها في فبراير. وتتهم ولايات فلوريدا وآيوا ومونتانا ونبراسكا الشركة، التي يقع مقرها في مدينة إيرفين بولاية كاليفورنيا، بتضليل المشترين بشأن مستوى أمان أجهزتها ومدى انفصالها عن الصين. وتنفي TP-Link هذه المزاعم وتؤكد أنها ستواجهها في المحاكم.
وكانت TP-Link Systems مرتبطة حتى إعادة هيكلة جرت في 2024 بشركة TP-Link Technologies الصينية، التي لا تذكر الدعاوى اسمها كمدعى عليه. وتجدر الإشارة إلى أن شكاوى فلوريدا ومونتانا ونبراسكا لا تزعم أن الحكومة الصينية حصلت فعلياً على بيانات العملاء عبر أجهزة TP-Link، بل تصف ذلك بأنه خطر محتمل بموجب القانون الصيني. وبشكل منفصل، تشير إلى أن قراصنة مدعومين من دول استغلوا ثغرات في راوترات TP-Link.
أما إعلان ولاية آيوا فقد جاء أكثر حدة في بعض المواضع، إذ قال مكتب المدعية العامة برينا بيرد إن برمجيات TP-Link الثابتة تمنح الحكومة الصينية إمكانية الوصول إلى أجهزة وبيانات سكان آيوا، قبل أن يصف الإعلان نفسه هذا الوصول بأنه أمر قد يحدث. وفي اليوم التالي، أرسل 21 مدعياً عاماً من ولايات مختلفة رسالة إلى لجنة الاتصالات الفيدرالية (FCC) بشأن مساعي TP-Link للحصول على موافقة على طرازات جديدة من الراوترات في الولايات المتحدة.
المزاعم الثلاثة الرئيسية في الدعاوى
تتقاسم شكاوى فلوريدا ومونتانا ونبراسكا عناوين الأقسام والمقاطع وتطرح المزاعم الرئيسية ذاتها. المزعم الأول هو أن TP-Link روجت لمستوى أمني لم توفره فعلاً، إذ تستشهد الشكاوى بصفحة الشركة لخدمة HomeShield للحماية الشبكية المدمجة التي تقول إنها “تغطي جميع السيناريوهات الأمنية”، ولا تزال الصفحة الأمريكية للخدمة تورد هذه العبارة حتى التاسع من أكتوبر. وتقابل الشكاوى ذلك براوترات جرى اختراقها وطرازات لم تعد تتلقى إصلاحات، ومن الأمثلة على ذلك نسختان من جهاز Archer AX21، تقول الشكاوى إن TP-Link لم تعد تحدثهما وإنهما وصلا إلى نهاية العمر التشغيلي في مايو 2024.
المزعم الثاني هو أن TP-Link بالغت في تصوير انفصالها عن الصين، إذ تستشهد الشكاوى بقول الشركة إن إعادة الهيكلة تركتها بملكية وإدارة وعمليات “مختلفة تماماً” عن تلك الخاصة بشركة TP-Link Technologies. ووفقاً لتقرير لوكالة بلومبرغ نشر في أبريل 2025 تستشهد به الولايات، كان لدى الشركتين معاً نحو 11 ألف موظف في الصين. وتقول TP-Link إن الراوترات المخصصة للسوق الأمريكية تُصنع في فيتنام، غير أن الشكاوى تشير إلى أن 0.5% فقط من الأجزاء المستخدمة في مصنعها الفيتنامي، من حيث القيمة، مصدرها فيتنام، بينما يأتي الباقي من الصين أو عبرها.
المزعم الثالث هو أن سياسات الخصوصية لدى TP-Link تغفل خطراً قائماً، إذ تجمع تطبيقاتها Tether وTapo وDeco وKasa Smart عناوين البريد الإلكتروني والموقع ومعرفات الهاتف. ووفقاً للشكاوى، قد يعرض قانون الاستخبارات الصيني لعام 2017 هذه البيانات لوكالات الاستخبارات الصينية.
وتطالب فلوريدا بإصدار أمر قضائي دائم ضد هذه الممارسات ومصادرة الأموال المتحصلة منها وغرامة قدرها 10 آلاف دولار عن كل مخالفة متعمدة، بينما تسعى مونتانا إلى غرامة تصل إلى 10 آلاف دولار لكل مخالفة. وتريد نبراسكا أيضاً إلزام TP-Link بإبلاغ المشترين بمصدر منتجاتها وأجزائها وعلاقاتها بالصين والثغرات المعروفة التي جرى استغلالها في أجهزتها.
رد شركة TP-Link على المزاعم
قال ستيف كوفسكي، مسؤول الشؤون المؤسسية في الشركة، في بيان صدر يوم رفع الدعاوى إن “الدعاوى القضائية المنسقة مبنية على مقدمات خاطئة، وهي لا تخدم الأمن القومي بأي شكل بينما تعاقب بشكل غير عادل شركة أمريكية رائدة في مجالها”. وأضاف البيان أن الشركة قدمت على مدى أشهر للجهات التنظيمية في الولايات وثائق تثبت أن أجهزتها الأمريكية تُصنع في فيتنام، ووصفت نفسها بأنها “شركة أمريكية مستقلة لا تملكها أو تسيطر عليها أي حكومة أجنبية”. وأكدت الشركة أنها “لا تشارك ولن تشارك بيانات شبكات العملاء مع حكومات أجنبية أو أطراف ثالثة غير مصرح لها”.
الهجمات الحقيقية التي تستشهد بها الدعاوى
تشير الشكاوى إلى هجمات فعلية تمكن فيها قراصنة من السيطرة على راوترات TP-Link. فقد أبلغت مايكروسوفت في 2024 أن مجموعة قراصنة تعتقد أنها في الصين بنت شبكة من راوترات المكاتب الصغيرة والمنازل المخترقة، استُخدمت في هجمات رش كلمات المرور التي تجرب كلمات مرور شائعة عبر حسابات كثيرة. وقالت مايكروسوفت إن راوترات TP-Link “تشكل معظم هذه الشبكة”، إذ أحصت في المتوسط 8000 جهاز مخترق نشط في أي وقت. وتذكر الشكاوى نفسها أن أجهزة من علامات تجارية أخرى جرى اختراقها كجزء من الشبكة ذاتها.
وقال مكتب التحقيقات الفيدرالي (FBI) في أبريل إن قراصنة من الاستخبارات العسكرية الروسية اخترقوا راوترات TP-Link عبر ثغرة تحمل المعرف CVE-2023-50224، فغيروا إعدادات DNS في الراوترات وجمعوا كلمات المرور ورموز تسجيل الدخول. وأعلنت TP-Link في مايو أن المنتجات المتأثرة بتلك الثغرة، باستثناء واحد، وصلت إلى نهاية العمر التشغيلي.
أما المزعم بأن قراصنة دولة صينيين استخدموا راوترات TP-Link في حملتي Volt Typhoon وFlax Typhoon فيستند إلى شهادة أُدلي بها في 2025، إذ قال روب جويس، مدير الأمن السيبراني السابق في وكالة الأمن القومي، أمام لجنة في مجلس النواب إن راوترات TP-Link “كانت من بين العلامات التجارية المختلفة” التي جرى استغلالها، دون أن يستشهد في شهادته المكتوبة بأي مصدر لذلك. وقد شككت TP-Link في الشهادة في اليوم نفسه، قائلة إن تلك الحملات “ليس لها تفضيل واضح لاستخدام راوترات TP-Link كوسيلة”.
ولا تزعم أي من الشكاوى الثلاث أن TP-Link بنت باباً خلفياً في منتجاتها، والباب الخلفي الوحيد الذي تذكره الشكاوى هو Horse Shell الذي زرعته مجموعة قراصنة مدعومة من الدولة الصينية على راوترات TP-Link وفقاً لشركة Check Point Research التي تستشهد بها الشكاوى. كما تلاحظ الشكاوى أن وزارة الدفاع الأمريكية أدرجت في يونيو شركة TP-Link Technologies ضمن قائمة الشركات العسكرية الصينية، وهي الشركة الصينية وليست TP-Link Systems المدعى عليها.
رسالة المدعين العامين إلى لجنة الاتصالات الفيدرالية
منذ 23 مارس، حظرت لجنة الاتصالات الفيدرالية على الراوترات الاستهلاكية المصنوعة في الخارج الحصول على الترخيص اللازم للمعدات قبل بيعها في الولايات المتحدة، والاستثناء الوحيد هو راوتر يحصل على “موافقة مشروطة” تقررها وزارة الأمن الداخلي أو وزارة الدفاع. ويسري هذا القاعدة على الراوترات المصنوعة في أي دولة أجنبية أياً كانت جنسية المصنع، إذ تُطبق بحسب مكان الإنتاج لا بحسب الشركة. ويمكن للراوترات المرخصة قبل القاعدة الاستمرار في تلقي تحديثات البرمجيات والبرمجيات الثابتة التي “تخفف الضرر عن المستهلكين الأمريكيين” حتى الأول من مارس 2027 على الأقل بموجب إعفاء من اللجنة.
وقد أرسلت الرسالة بقيادة المدعي العام لنبراسكا مايك هيلغرز ووقعها 20 مدعياً آخر، وتطرح ثلاثة مخاوف أمام اللجنة هي ادعاءات TP-Link الأمنية وادعاءاتها بشأن الانفصال عن الصين وتصنيع الراوترات في فيتنام وما تغفله إفصاحاتها المتعلقة بالخصوصية عن قانون الاستخبارات الصيني. وتعرض الرسالة التعاون مع اللجنة لكنها لا تطلب منها رفض الموافقة أو تأخيرها أو إرفاق شروط بها. وقال هيلغرز عند إعلان الرسالة إن “المستهلكين يجب أن يكونوا على علم بهذه المخاطر، وينبغي للجنة أن تعالجها قبل الترخيص لهذه الراوترات الجديدة بالبيع في الأسواق الأمريكية”. أما المدعي العام لمونتانا أوستن كنودسن فقال إنه يأمل أن ترفض اللجنة الموافقة.
ثغرات في الأجهزة التي يوردها مزودو خدمة الإنترنت
تُعد Aginet خط إنتاج TP-Link لأنظمة الشبكات المتداخلة والراوترات والمودمات التي يثبتها مزودو خدمة الإنترنت للعملاء ويحافظون على تحديثها. وتستشهد شكاوى فلوريدا ومونتانا ونبراسكا بخمس ثغرات في تلك الأجهزة كدليل على استمرار مشكلات TP-Link الأمنية، وقد أفصحت الشركة عن الثغرات في 10 أغسطس، ثم نشر باحثو SEC Consult الذين اكتشفوها التفاصيل التقنية في 8 أكتوبر.
وقالت SEC Consult إن الثغرات مجتمعة “أتاحت لمهاجم غير موثق على الشبكة نفسها اختراق الجهاز المتأثر بالكامل” وتشغيل أوامر بصلاحيات الجذر، أعلى مستوى صلاحيات. ويجب أن يتمكن المهاجم أولاً من الوصول إلى واجهة الإدارة عبر الويب الخاصة بالجهاز، ولم توضح SEC Consult ولا TP-Link ما إذا كانت تلك الواجهة يمكن الوصول إليها من الإنترنت. وتتيح الثغرة الرئيسية CVE-2025-30237 لطلبات ويب مصممة بعناية تجاوز فحص تسجيل الدخول، وبها يمكن لمهاجم دون حساب إنشاء مستخدم “مسؤول خارق” وتفعيل الوصول البعيد عبر SSH وفقاً لـ SEC Consult.
وتصف SEC Consult مجموعة الثغرات بأنها حرجة، وتدرج TP-Link 65 طرازاً متأثراً في سلاسل HB وHX وHC للشبكات المتداخلة، وسلاسل EB وEC وEX للراوترات، وأجهزة الألياف XC وXX، ومودمات VX للخط الرقمي. ولم تُدرج سوى 27 منها في جميع الثغرات الخمس وفقاً لسجلات CVE التي نشرتها TP-Link. كما تتأثر النسخ التي خصصها مزودو الخدمة، وهي نسخ لا تدرجها TP-Link.
وقد لا يتمكن المالكون من تنزيل الإصلاح بأنفسهم، إذ تُسلَّم التحديثات عبر كل مزود خدمة إنترنت، وقد “لا تكون البرمجيات الثابتة لنسخ مزودي الخدمة متاحة للتنزيل المباشر للعموم” وفقاً لتنبيه TP-Link. وتنصح الشركة المستخدمين بالتحقق من واجهة إدارة الجهاز أو تطبيقه بحثاً عن تحديث للبرمجيات الثابتة، وإذا لم يُعرض أي تحديث فعليهم التواصل مع مزود خدمة الإنترنت. ولا تدرج SEC Consult أي حل بديل، ولا يذكر أي من التنبيهين عدد الأجهزة التي تلقت الإصلاح.
وأبلغت SEC Consult شركة TP-Link بالثغرات في ديسمبر 2024، وجاء تنبيه الشركة بعد نحو 20 شهراً. ووفقاً للجدول الزمني لـ SEC Consult، كانت معظم البرمجيات الثابتة المصلحة قد صدرت بحلول فبراير 2026. وقد استبعدت SEC Consult أوامر الاستغلال من تنبيهها، ولا يذكر أي من التنبيهين هجمات تستخدم هذه الثغرات، ولم تكن أي من الثغرات الخمس مدرجة في كتالوج وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية للثغرات المستغلة المعروفة حتى إصداره في 8 أكتوبر. ولا تربط الشكاوى ولا التنبيهات هذه الثغرات بالهجمات الموصوفة أعلاه أو بالمزاعم المتعلقة بالصين.
