アメリカ政府のTP-Link製品禁止案は本当に有効なのか？ – GIGAZINE

アメリカ政府はTP-Link製ルーターを使用することについてリスク評価を行い、国家安全保障上の理由から「販売禁止が妥当である」と結論付け、規制を提案しています。このTP-Link製品禁止案について、セキュリティアドバイザーのブライアン・クレブス氏が自身のブログで疑問を呈しています。

Drilling Down on Uncle Sam’s Proposed TP-Link Ban – Krebs on Security
https://krebsonsecurity.com/2025/11/drilling-down-on-uncle-sams-proposed-tp-link-ban/

アメリカ政府は、アメリカに本社を構えるTP-Link Systemsの源流が中国企業であることから、潜在的に国家安全保障上の危険となる可能性があるとして調査を行っており、使用にリスクが存在すると結論づけました。

アメリカ商務省によるTP-Link製ルーターの販売禁止提案を複数政府機関が支持 – GIGAZINE

アメリカ政府が提案した禁止案では、アメリカ商務省がTP-Linkに対して販売禁止とする旨を通知し、30日間の異議申し立て期間が設けられます。その後、商務省は30日以内に異議について検討を行った上で、正式に販売禁止措置を発動することが可能になります。

しかし、TP-Link Systemsは、源流となるTP-Link Technologiesからは完全に分離していると主張。また、チップセットを除くすべての研究開発・設計・製造をTP-Link Systemsで行っているとして、中国政府の関与を否定しました。

by Kārlis Dambrāns

TP-Link Systemsの広報担当者リッカ・シルベリオ氏は「TP-Linkは、自社製品がアメリカにとって国家安全保障上のリスクとなるといういかなる主張にも断固として反論します。TP-Linkは、アメリカ市場およびそれ以外の地域に高品質で安全な製品を供給することに尽力しているアメリカ企業です」という声明を発表しました。

事の発端は、2024年8月にアメリカと中国共産党の戦略的競争に関する下院特別委員会がアメリカ軍基地でTP-Linkのデバイスが使用されていることに言及し、商務省長官宛てに警告する書簡を送付したことです。

この書簡では、サイバーセキュリティプロバイダーのCheck Pointが投稿した、「中国政府が支援するハッカー集団がTP-Linkの一部ルーターに悪意のあるファームウェアを埋め込んでサイバー攻撃を実行した」と報じたブログ記事が引用されています。ただし、Check Pointは、「悪意のあるファームウェアはTP-Linkのデバイスでのみ発見されたものの、埋め込まれたコンポーネントがファームウェアに依存しないことから、幅広いデバイスとベンダーが危険にさらされている可能性があることが示唆される」と述べています。

TP-Linkも、「競合他社の多くも中国から部品を調達しており、CiscoやNetgearといった他社製品の脆弱性もAPT(高度持続的脅威)グループに悪用されてきた」と指摘しており、クレブス氏もTP-Linkの主張を認めています。

クレブス氏は「TP-Linkの顧客にとっては、これらの製品を使い続けるべきか、わずかに安全性が高いかもしれない高価な他社製品に買い替えるべきか、悩ましい状況だ」と述べています。

TP-Link製品に限らず、ほとんどの消費者向けルーターはほぼ例外なく、デフォルトのユーザー名やパスワードなど、インターネットに接続する前に変更すべきデフォルト設定を含んだまま出荷されています。また、新品のルーターでも購入時点でファームウェアが危険なほど古いこともよくあります。

近年、多くのメーカーは、デフォルトパスワードの変更やファームウェアの更新といった基本的なセキュリティ対策をユーザーに強制するようになりました。AmazonのEeroやNetgearのOrbiなどのメッシュルーターはオンライン登録を必須とし、これらのステップを自動化しています。また、BelkinやLinksysなどの従来の安価なルーターも、モバイルアプリによるセットアップを強く推奨することで、同様の対応を進めています。しかし、これらの製品でもアップデートの確認やインストールはユーザーの責任とされることが多くあります。

VPNや広告ブロックなどの高度な機能を求めるユーザーや、クラウド管理を好まないユーザーにとっては、ルーターの標準ファームウェアをOpenWRTやDD-WRTといったオープンソースの代替品に置き換えられるか確認することが重要だ、とクレブス氏。これらは多機能で設定の自由度が高く、ベンダーのサポートが終了した古いルーターの寿命を延ばすことにも役立ちます。

また、TP-Link製ルーターの多くは、OpenWRTのようなオープンソースファームウェアにも対応しています。ハードウェア固有の欠陥を排除することはできないものの、こうしたオープンソースファームウェアは、文書化されていないユーザーアカウントや、プログラム内に直接埋め込まれた認証情報といったベンダー固有の一般的な脆弱性に対して効果的な防御策となり得る、とクレブス氏は主張しました。