สรุปสั้น

รัฐฟลอริดา ไอโอวา มอนทานา และเนแบรสกา ยื่นฟ้องบริษัท TP-Link Systems ผู้ผลิตเราเตอร์เมื่อวันที่ 6 ตุลาคม 2569 ทำให้มีรัฐที่ฟ้องแล้วรวม 5 รัฐ ต่อจากเท็กซัสที่ฟ้องไปเมื่อกุมภาพันธ์ คำฟ้องยื่นต่อศาลระดับรัฐภายใต้กฎหมายคุ้มครองผู้บริโภค ข้อกล่าวหาหลักมี 3 ข้อ คือ TP-Link โฆษณาความปลอดภัยที่ทำไม่ได้จริง แจ้งว่าบริษัทแยกตัวจากจีนมากกว่าความเป็นจริง และนโยบายความเป็นส่วนตัวของแอปไม่บอกความเสี่ยงที่ข้อมูลผู้ใช้อาจถูกหน่วยข่าวกรองจีนเข้าถึงภายใต้กฎหมายจีน วันถัดมา อัยการสูงสุด 21 รัฐส่งจดหมายถึง FCC แสดงข้อกังวลต่อความพยายามของ TP-Link ที่จะขออนุมัติเราเตอร์รุ่นใหม่

สิ่งที่ควรแยกให้ชัดคือ คำฟ้องทั้งสามฉบับไม่ได้กล่าวหาว่า TP-Link ฝังแบ็กดอร์ในผลิตภัณฑ์ และไม่ได้กล่าวหาว่ารัฐบาลจีนได้ข้อมูลลูกค้าไปแล้ว แต่บรรยายว่าเป็นความเสี่ยงภายใต้กฎหมายจีน ส่วนการโจมตีจริงที่อ้างถึง เช่น บอตเน็ตของกลุ่มจีนที่ Microsoft รายงาน และการเจาะของหน่วยข่าวกรองทหารรัสเซีย เป็นกรณีที่แฮ็กเกอร์ใช้ช่องโหว่ยึดเราเตอร์ ไม่ใช่การกระทำของบริษัท TP-Link ปฏิเสธข้อกล่าวหาทั้งหมดและยืนยันว่าจะสู้คดีในศาล

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 9 ตุลาคม 2569 ว่า TP-Link Systems มีสำนักงานใหญ่ที่เมืองเออร์ไวน์ รัฐแคลิฟอร์เนีย จนถึงการปรับโครงสร้างในปี 2567 บริษัทนี้ยังสังกัด TP-Link Technologies ซึ่งเป็นบริษัทจีนที่คำฟ้องไม่ได้ระบุเป็นจำเลย คำฟ้องของฟลอริดา มอนทานา และเนแบรสกาใช้หัวข้อและเนื้อหาร่วมกันหลายส่วน ส่วนแถลงการณ์ของรัฐไอโอวาใช้ถ้อยคำแรงกว่าในบางจุด โดยสำนักงานของนาง Brenna Bird อัยการสูงสุดไอโอวา ระบุว่าเฟิร์มแวร์ของ TP-Link เปิดให้รัฐบาลจีนเข้าถึงอุปกรณ์และข้อมูลของชาวไอโอวา แต่ในแถลงการณ์เดียวกันก็บรรยายว่าเป็นสิ่งที่ “อาจ” เกิดขึ้น

ข้อกล่าวหาที่ 1 โฆษณาความปลอดภัยเกินจริง คำฟ้องยกข้อความบนหน้าเว็บของ HomeShield บริการป้องกันเครือข่ายในตัวของ TP-Link ที่ระบุว่า “ครอบคลุมทุกสถานการณ์ด้านความปลอดภัย” ซึ่งยังอยู่บนหน้าเว็บสหรัฐฯ ณ 9 ตุลาคม แล้วเทียบกับเราเตอร์ที่ถูกแฮ็กจริงและรุ่นที่ไม่ได้รับแพตช์แล้ว เช่น Archer AX21 สองเวอร์ชันที่หมดอายุการสนับสนุนตั้งแต่พฤษภาคม 2567

ข้อกล่าวหาที่ 2 อ้างว่าแยกจากจีนเกินจริง TP-Link เคยระบุว่าหลังปรับโครงสร้าง บริษัทมี “ผู้ถือหุ้น ผู้บริหาร และการดำเนินงานที่แตกต่างโดยสิ้นเชิง” จาก TP-Link Technologies แต่คำฟ้องอ้างรายงานของ Bloomberg News เมื่อเมษายน 2568 ว่าทั้งสองบริษัทจ้างพนักงานในจีนรวมราว 11,000 คน TP-Link ระบุว่าเราเตอร์สำหรับตลาดสหรัฐฯ ผลิตในเวียดนาม แต่คำฟ้องระบุว่าชิ้นส่วนที่โรงงานเวียดนามใช้มีเพียง 0.5% ตามมูลค่าที่จัดหาในเวียดนาม ที่เหลือมาจากหรือผ่านจีน

ข้อกล่าวหาที่ 3 นโยบายความเป็นส่วนตัวละเลยความเสี่ยง แอป Tether, Tapo, Deco และ Kasa Smart เก็บอีเมล ตำแหน่ง และตัวระบุโทรศัพท์ คำฟ้องระบุว่ากฎหมายข่าวกรองจีนปี 2560 อาจทำให้ข้อมูลเหล่านี้ตกถึงหน่วยข่าวกรองจีน ฟลอริดาเรียกร้องคำสั่งศาลถาวร การคืนเงินที่ได้จากการกระทำดังกล่าว และค่าปรับ 10,000 ดอลลาร์ต่อการละเมิดโดยเจตนาแต่ละครั้ง มอนทานาเรียกค่าปรับสูงสุด 10,000 ดอลลาร์ต่อการละเมิด ส่วนเนแบรสกาขอให้ศาลสั่งให้ TP-Link แจ้งผู้ซื้อเรื่องแหล่งที่มาของสินค้าและชิ้นส่วน ความเชื่อมโยงกับจีน และช่องโหว่ที่ถูกใช้โจมตีจริง

นาย Steve Kovsky เจ้าหน้าที่ฝ่ายกิจการองค์กรของ TP-Link ระบุในแถลงการณ์วันที่ถูกฟ้องว่า “คดีที่ประสานกันเหล่านี้ตั้งอยู่บนสมมติฐานที่ผิด ไม่ได้ช่วยความมั่นคงของชาติ แต่ลงโทษบริษัทสหรัฐฯ ชั้นนำของอุตสาหกรรมอย่างไม่เป็นธรรม” บริษัทระบุว่าตนเป็น “บริษัทสหรัฐฯ อิสระที่ไม่ได้ถูกถือหุ้นหรือควบคุมโดยรัฐบาลต่างชาติ” และ “ไม่แชร์และจะไม่แชร์ข้อมูลเครือข่ายของลูกค้ากับรัฐบาลต่างชาติหรือบุคคลที่สามที่ไม่ได้รับอนุญาต”

หลักฐานการโจมตีที่คำฟ้องอ้างถึง

เหตุการณ์สิ่งที่รายงานข้อจำกัดของหลักฐาน
บอตเน็ต CovertNetwork-1658 (Microsoft, 2567)กลุ่มที่ Microsoft เชื่อว่าอยู่ในจีนสร้างเครือข่ายเราเตอร์ที่ถูกแฮ็กไว้ทำ password spray · เราเตอร์ TP-Link “เป็นส่วนใหญ่ของเครือข่าย” เฉลี่ย 8,000 เครื่องที่ activeคำฟ้องเองระบุว่ามีเราเตอร์ยี่ห้ออื่นอยู่ในเครือข่ายเดียวกัน
หน่วยข่าวกรองทหารรัสเซีย (FBI, เม.ย. 2569)เจาะเราเตอร์ TP-Link ผ่าน CVE-2023-50224 เปลี่ยนค่า DNS เก็บรหัสผ่านและโทเคนล็อกอินTP-Link ระบุว่าผลิตภัณฑ์ที่ได้รับผลกระทบเกือบทั้งหมดหมดอายุการสนับสนุนแล้ว
Volt Typhoon และ Flax Typhoonนาย Rob Joyce อดีตผู้อำนวยการฝ่ายไซเบอร์ของ NSA ให้การต่อสภาปี 2568 ว่าเราเตอร์ TP-Link “อยู่ในหลายยี่ห้อ” ที่ถูกใช้คำให้การเป็นลายลักษณ์อักษรไม่ระบุแหล่งที่มา · TP-Link แย้งว่าแคมเปญเหล่านี้ไม่มีความชอบใช้เราเตอร์ TP-Link เป็นพิเศษ
แบ็กดอร์ Horse Shell (Check Point Research)ฝังบนเราเตอร์ TP-Linkผู้ฝังคือกลุ่มแฮ็กเกอร์ที่รัฐจีนหนุน ไม่ใช่ผู้ผลิต

คำฟ้องยังอ้างว่ากระทรวงกลาโหมสหรัฐฯ ขึ้นบัญชี TP-Link Technologies เป็นบริษัททหารจีนเมื่อมิถุนายน แต่บัญชีนั้นระบุบริษัทจีน ไม่ใช่ TP-Link Systems ที่ถูกฟ้อง

ช่องโหว่ในอุปกรณ์ Aginet คำฟ้องของฟลอริดา มอนทานา และเนแบรสกาอ้างช่องโหว่ 5 รายการในอุปกรณ์ Aginet ที่ ISP ติดตั้งให้ลูกค้า ซึ่ง TP-Link ประกาศเมื่อ 10 สิงหาคม (เว็บไซต์นี้รายงานไว้ในโพสต์ 2026/08/096 ) และ SEC Consult เผยแพร่รายละเอียดทางเทคนิคเมื่อ 8 ตุลาคม เมื่อใช้ร่วมกัน ผู้โจมตีที่ไม่ต้องยืนยันตัวตนและอยู่ในเครือข่ายเดียวกันจะยึดอุปกรณ์และรันคำสั่งด้วยสิทธิ์ root ได้ ช่องโหว่หลัก CVE-2025-30237 ข้ามการตรวจล็อกอินจนสร้างผู้ใช้ “Superadmin” และเปิด SSH ได้

CVEผลที่เกิดเงื่อนไขCVSS 4.0รุ่นที่ระบุ (จาก 65)
CVE-2025-30237ทำงานระดับสิทธิ์สูงบนเว็บอินเทอร์เฟซโดยไม่ล็อกอินเข้าถึงเว็บจัดการได้ทางเครือข่าย8.756
CVE-2025-30238บัญชีสิทธิ์ต่ำสร้างบัญชีสิทธิ์สูงและเปิด SSHล็อกอินสิทธิ์ต่ำ8.659
CVE-2025-30239ถอดรหัสรหัสผ่านที่เก็บไว้ได้เพราะคีย์ฝังตายตัวต่อรุ่น บางกรณีรวม credential จัดการระยะไกลของ ISPเข้าถึงคอนฟิกที่เก็บไว้8.565
CVE-2025-30240อ่านไฟล์ผ่านลิงก์ที่สร้างขึ้นบน USBเข้าถึงพอร์ต USB ทางกายภาพ5.133
CVE-2025-30241รันคำสั่ง OS ด้วยสิทธิ์สูงล็อกอินเว็บอินเทอร์เฟซ8.631

ทั้ง SEC Consult และ TP-Link ไม่ได้ระบุว่าเว็บจัดการเข้าถึงจากอินเทอร์เน็ตได้หรือไม่ ไม่มีรายงานการโจมตีจริง ไม่มีรายการใดอยู่ใน KEV ของ CISA และทั้งคำฟ้องและประกาศช่องโหว่ไม่ได้โยงช่องโหว่ชุดนี้กับการโจมตีหรือข้อกล่าวหาเรื่องจีนข้างต้น SEC Consult แจ้ง TP-Link ตั้งแต่ธันวาคม 2567 ประกาศของ TP-Link ออกตามมาเกือบ 20 เดือน แม้เฟิร์มแวร์แก้ไขส่วนใหญ่ออกภายในกุมภาพันธ์ 2569

จดหมายถึง FCC

ตั้งแต่ 23 มีนาคม 2569 FCC ห้ามออกใบอนุญาตอุปกรณ์ให้เราเตอร์ผู้บริโภครุ่นใหม่ที่ผลิตนอกสหรัฐฯ เว้นแต่ได้ “Conditional Approval” ซึ่งกระทรวงความมั่นคงภายในหรือกระทรวงกลาโหมเป็นผู้ตัดสิน กฎนี้ใช้ตามสถานที่ผลิตไม่ใช่สัญชาติบริษัท เราเตอร์ที่ได้รับอนุญาตก่อนหน้ายังรับอัปเดตซอฟต์แวร์ได้อย่างน้อยถึง 1 มีนาคม 2570 TP-Link ระบุเมื่อเมษายนว่ารุ่นเดิม “ยังได้รับอนุญาตครบถ้วน” และกำลังขอ Conditional Approval สำหรับรุ่นใหม่

จดหมายที่นาย Mike Hilgers อัยการสูงสุดเนแบรสกานำและอีก 20 รัฐร่วมลงนาม ยกข้อกังวล 3 เรื่องเดียวกับคำฟ้อง เสนอทำงานร่วมกับ FCC แต่ไม่ได้ขอให้ปฏิเสธ ชะลอ หรือตั้งเงื่อนไขการอนุมัติ อย่างไรก็ตาม นาย Austin Knudsen อัยการสูงสุดมอนทานา ระบุว่าหวังให้ FCC ปฏิเสธการอนุมัติ

ผลกระทบ

คดีนี้เป็นการต่อสู้ด้วยกฎหมายคุ้มครองผู้บริโภค ไม่ใช่การพิสูจน์ทางเทคนิคว่าอุปกรณ์มีแบ็กดอร์ แต่ผลที่จับต้องได้คือแรงกดดันต่อการอนุมัติเราเตอร์รุ่นใหม่ในสหรัฐฯ และอาจทำให้ผู้ผลิตอุปกรณ์เครือข่ายต้องเปิดเผยแหล่งที่มาของชิ้นส่วน วงจรการสนับสนุน และช่องโหว่ที่ถูกใช้โจมตีจริงมากขึ้น

ประเด็นด้านความปลอดภัยที่หนักแน่นกว่าข้อกล่าวหาเรื่องจีนคือเรื่องที่ใช้ได้กับเราเตอร์ทุกยี่ห้อ อุปกรณ์ที่หมดอายุการสนับสนุนแต่ยังใช้งานอยู่ถูกแฮ็กเกอร์รัฐหลายประเทศยึดไปทำบอตเน็ตและเก็บรหัสผ่าน และอุปกรณ์ที่ ISP จัดหาให้ ผู้ใช้อัปเดตเองไม่ได้ ต้องรอ ISP ส่งเฟิร์มแวร์ให้ ช่องโหว่ที่ใช้เวลาเกือบ 20 เดือนจากการแจ้งจนถึงการประกาศสะท้อนว่าวงจรแพตช์ของอุปกรณ์กลุ่มนี้ช้ากว่าซอฟต์แวร์ทั่วไปมาก

คำแนะนำ

  • สำรวจเราเตอร์และอุปกรณ์เครือข่ายทุกยี่ห้อในองค์กรและสาขา ปลดระวางรุ่นที่หมดอายุการสนับสนุน เช่น Archer AX21 บางเวอร์ชันที่หมดอายุตั้งแต่พฤษภาคม 2567
  • ผู้ใช้อุปกรณ์ Aginet ที่ได้จาก ISP ให้ตรวจหน้าจัดการหรือแอปว่ามีเฟิร์มแวร์ใหม่หรือไม่ หากไม่มีให้ติดต่อ ISP เพราะเฟิร์มแวร์รุ่น ISP อาจไม่มีให้ดาวน์โหลดเอง
  • ปิดการเข้าถึงหน้าจัดการเราเตอร์จากอินเทอร์เน็ตและจากเครือข่ายแขก เปลี่ยนรหัสผ่านค่าเริ่มต้น และปิด SSH/การจัดการระยะไกลที่ไม่ใช้
  • ตรวจหาบัญชีผู้ดูแลที่ไม่รู้จัก เช่น Superadmin และค่า DNS ที่ถูกเปลี่ยนบนเราเตอร์ ซึ่งเป็นพฤติกรรมที่พบในการโจมตีจริง
  • เมื่อจัดซื้ออุปกรณ์เครือข่าย ให้ประเมินระยะเวลาการสนับสนุนและประวัติการออกแพตช์ของผู้ผลิต ไม่ใช่แค่ราคาและสเปก

แหล่งอ้างอิง