TP-Link đối mặt làn sóng kiện tụng tại Mỹ vì lỗ hổng bảo mật và quan hệ với Trung Quốc

• Làn sóng pháp lý: Bốn bang Florida, Iowa, Montana và Nebraska đã chính thức khởi kiện TP-Link, nâng tổng số bang tham gia lên con số 5 sau Texas.
• Cáo buộc bảo mật: Các đơn kiện tập trung vào việc TP-Link quảng cáo sai lệch về khả năng bảo mật và che giấu rủi ro dữ liệu liên quan đến luật tình báo Trung Quốc.
• Lỗ hổng kỹ thuật: Các nhà nghiên cứu từ SEC Consult đã công bố 5 lỗ hổng nghiêm trọng (CVE-2025-30237 đến CVE-2025-30241) ảnh hưởng đến hàng loạt dòng thiết bị mesh và router của hãng.
• Phản ứng từ hãng: TP-Link bác bỏ các cáo buộc, khẳng định thiết bị của họ an toàn và không chia sẻ dữ liệu người dùng với chính phủ nước ngoài.

Vào ngày 6 tháng 10, bốn bang tại Hoa Kỳ đã đệ đơn kiện nhà sản xuất thiết bị mạng TP-Link Systems. Động thái này diễn ra sau khi Texas đã khởi kiện vào tháng 2, tạo nên một áp lực pháp lý chưa từng có đối với hãng sản xuất thiết bị mạng này. Các bang cáo buộc TP-Link đã đánh lừa người tiêu dùng về mức độ an toàn của các bộ định tuyến (router) và sự tách biệt về mặt vận hành với công ty mẹ tại Trung Quốc.

Phân tích các cáo buộc pháp lý và rủi ro an ninh

Các đơn kiện từ Florida, Montana và Nebraska nhấn mạnh rằng TP-Link đã quảng cáo dịch vụ HomeShield là giải pháp "bao phủ mọi kịch bản bảo mật", trong khi thực tế nhiều thiết bị của hãng đã bị khai thác hoặc không còn nhận được các bản cập nhật firmware (End of Life). Đặc biệt, các bang này lo ngại về việc dữ liệu người dùng từ các ứng dụng như Tether, Tapo, Deco và Kasa Smart có thể bị tiếp cận bởi các cơ quan tình báo Trung Quốc theo luật định của quốc gia này.

Về phía TP-Link, đại diện công ty, ông Steve Kovsky, tuyên bố rằng các vụ kiện này dựa trên những tiền đề sai lệch và không đóng góp vào an ninh quốc gia. Công ty khẳng định các thiết bị tại thị trường Mỹ được sản xuất tại Việt Nam và không chịu sự kiểm soát của bất kỳ chính phủ nước ngoài nào.

Mổ xẻ các lỗ hổng bảo mật nghiêm trọng

Bên cạnh các vấn đề pháp lý, các nhà nghiên cứu từ SEC Consult đã công bố chi tiết về 5 lỗ hổng bảo mật nghiêm trọng ảnh hưởng đến các dòng thiết bị Aginet của TP-Link. Những lỗ hổng này cho phép kẻ tấn công không cần xác thực có thể chiếm quyền điều khiển thiết bị ở mức cao nhất (root).

Mã CVE	Mức độ tác động	Yêu cầu khai thác	Điểm CVSS
CVE-2025-30237	Bỏ qua xác thực web	Truy cập mạng nội bộ	8.7 (High)
CVE-2025-30238	Leo thang đặc quyền	Tài khoản đặc quyền thấp	8.6 (High)
CVE-2025-30239	Giải mã mật khẩu	Truy cập cấu hình	8.5 (High)
CVE-2025-30240	Đọc file trái phép	Truy cập vật lý USB	5.1 (Medium)
CVE-2025-30241	Thực thi lệnh OS	Đăng nhập web	8.6 (High)

⚠️ Cảnh báo quan trọng: Các lỗ hổng này ảnh hưởng đến 65 dòng sản phẩm khác nhau. Người dùng được khuyến cáo kiểm tra giao diện quản trị hoặc ứng dụng quản lý để cập nhật firmware mới nhất. Nếu thiết bị do nhà cung cấp dịch vụ internet (ISP) quản lý, người dùng cần liên hệ trực tiếp với ISP để yêu cầu bản vá.

Bối cảnh đe dọa và các chiến dịch tấn công

Các báo cáo từ Microsoft và FBI trước đây đã chỉ ra rằng các thiết bị router của TP-Link thường xuyên trở thành mục tiêu của các nhóm hacker. Điển hình là việc sử dụng các thiết bị này trong mạng lưới botnet để thực hiện các cuộc tấn công password-spray. Ngoài ra, lỗ hổng CVE-2023-50224 đã từng bị các nhóm hacker quân sự Nga khai thác để thay đổi cấu hình DNS, nhằm đánh cắp thông tin đăng nhập của người dùng.

Trong khi TP-Link khẳng định không có "cửa sau" (backdoor) được tích hợp sẵn, các nhà nghiên cứu vẫn cảnh báo về rủi ro từ các mã độc như Horse Shell, vốn được các nhóm hacker có sự hậu thuẫn của nhà nước sử dụng để duy trì sự hiện diện lâu dài trên các thiết bị mạng bị xâm nhập.