Thiết bị Wi-Fi TP-Link quen thuộc bị Mỹ đưa vào tầm ngắm vì lo ngại rủi ro an ninh mạng

Theo The Washington Post, một số bộ và cơ quan liên bang đã ủng hộ đề xuất cấm các đợt bán hàng trong tương lai đối với những bộ định tuyến gia đình phổ biến nhất ở Mỹ. Họ cho rằng mối liên hệ giữa nhà cung cấp và Trung Quốc đại lục khiến các thiết bị này trở thành mối đe dọa an ninh quốc gia.

TP-Link trở thành “quân bài mặc cả”?

Đề xuất này, xuất phát từ một quá trình đánh giá rủi ro kéo dài hàng tháng, kêu gọi chặn việc bán các thiết bị mạng của TP-Link Systems, có trụ sở tại Irvine, California. Công ty này được tách ra từ TP-Link Technologies — một doanh nghiệp đặt tại Trung Quốc — nhưng vẫn nắm giữ một số tài sản trước đây của công ty mẹ tại Trung Quốc. Lệnh cấm được Bộ Thương mại đề xuất và đã nhận được sự ủng hộ hồi mùa hè thông qua quy trình liên ngành, trong đó có Bộ An ninh Nội địa, Bộ Tư pháp và Bộ Quốc phòng, theo các nguồn tin cho biết.

Người phát ngôn của TP-Link Systems, Ricca Silverio, nói trong một tuyên bố: “TP-Link kiên quyết bác bỏ mọi cáo buộc cho rằng các sản phẩm của mình gây ra rủi ro an ninh quốc gia đối với Mỹ. TP-Link là một công ty Mỹ, cam kết cung cấp các sản phẩm chất lượng cao và an toàn cho thị trường Mỹ và các thị trường khác trên toàn cầu”.

Nếu được thực thi, lệnh cấm này sẽ nằm trong số những lệnh cấm lớn nhất trong lịch sử hàng tiêu dùng, đồng thời là một dấu hiệu cho thấy khoảng cách công nghệ giữa phương Đông và phương Tây tiếp tục bị khoét sâu, giữa lúc xuất hiện các báo cáo về các vụ tấn công mạng do chính phủ Trung Quốc hậu thuẫn ngày càng tăng. Chỉ có lệnh cấm TikTok — ứng dụng thuộc sở hữu Trung Quốc mà Tổng thống Donald Trump tạm thời ngăn chặn bằng các sắc lệnh hành pháp và một thương vụ bán lại đang chờ hoàn tất — mới có tác động rộng hơn đối với người tiêu dùng Mỹ.

Mặc dù Bộ Thương mại là bên khởi xướng lệnh cấm và yêu cầu đánh giá liên ngành, họ vẫn chưa đưa ra hành động tiếp theo sau khi quá trình này hoàn tất. Bộ có thể quyết định không ban hành lệnh cấm, hoặc đạt được một thỏa thuận khác với TP-Link để giải quyết các mối quan ngại. Nhà Trắng được cho là cũng ủng hộ đề xuất cấm, nhưng vẫn có thể thay đổi lập trường.

Người phát ngôn Nhà Trắng, khi được hỏi về lệnh cấm, từ chối bình luận cụ thể: “Chúng tôi nhận thức rõ về các nỗ lực tích cực của chính phủ Trung Quốc nhằm khai thác những lỗ hổng an ninh trọng yếu và đang phối hợp với các bên liên quan để đánh giá mức độ phơi nhiễm cũng như giảm thiểu thiệt hại”.

Tổng thống Donald Trump đã gặp Chủ tịch Trung Quốc Tập Cận Bình hôm thứ 5 tại Hàn Quốc, nơi hai bên đạt được một thỏa thuận giúp hạ nhiệt căng thẳng thương mại giữa hai nước. Theo hai nguồn tin, những cuộc đàm phán dẫn đến thỏa thuận này khiến khả năng ban hành lệnh cấm TP-Link trong ngắn hạn giảm đi. Một người trong số họ nói rằng chính quyền xem TP-Link như một “quân bài mặc cả” trong các cuộc thương lượng thương mại Mỹ - Trung.

Người phát ngôn TP-Link Systems, Jeff Seedman, bác bỏ nhận định đó: “Thật vô lý khi cho rằng bất kỳ biện pháp nào chống lại TP-Link có thể được dùng làm ‘con bài mặc cả’ trong đàm phán Mỹ - Trung. Mọi hành động bất lợi đối với TP-Link sẽ không ảnh hưởng đến Trung Quốc, mà chỉ gây hại cho một công ty Mỹ”.

Lo ngại lý do an ninh

Các quan chức Bộ Thương mại kết luận rằng sản phẩm của TP-Link Systems gây rủi ro vì chúng xử lý dữ liệu nhạy cảm của người Mỹ, đồng thời tin rằng công ty vẫn có thể chịu ảnh hưởng hoặc quyền tài phán của chính phủ Trung Quốc. TP-Link Systems phủ nhận điều này, nói rằng họ đã hoàn toàn tách khỏi TP-Link Technologies trong ba năm qua. Đề xuất của Bộ Thương mại cũng nêu khả năng công ty có thể thương lượng một giải pháp để tránh lệnh cấm, nhưng chính phủ phải chắc chắn rằng phần cứng và phần mềm chủ chốt không bị ảnh hưởng bởi Trung Quốc.

Theo người phát ngôn Silverio, TP-Link Systems hiện sở hữu hoàn toàn các bộ phận thiết kế, kỹ thuật và sản xuất tại Trung Quốc từng thuộc về TP-Link Technologies, và điều hành chúng mà không chịu sự giám sát của chính phủ Trung Quốc. TP-Link Technologies giờ chỉ phục vụ thị trường Trung Quốc, bà nói. TP-Link Systems có khoảng 500 nhân viên tại Mỹ và 11.000 tại Trung Quốc, trong đó một số làm việc tại các cơ sở liền kề với những tòa nhà vẫn do TP-Link Technologies sở hữu.

Trang web của TP-Link Systems cho biết họ chiếm 36% thị phần bộ định tuyến gia đình tại Mỹ theo doanh số trực tiếp, trong khi các ước tính khác và lời khai trước Quốc hội cho thấy con số này có thể vượt 50%. Một phần lớn các thiết bị định tuyến TP-Link và của các đối thủ khác được người tiêu dùng mua hoặc thuê thông qua các nhà cung cấp dịch vụ Internet, theo giới phân tích.

Các quy định liên bang, dựa một phần trên các sắc lệnh hành pháp của Tổng thống Donald Trump trong nhiệm kỳ đầu và Tổng thống Joe Biden, cho phép Bộ trưởng Thương mại đánh giá rủi ro đối với các giao dịch liên quan đến “công nghệ hoặc dịch vụ thông tin và truyền thông” có yếu tố từ các thực thể “bị kiểm soát hoặc chịu sự chỉ đạo của các đối thủ nước ngoài,” và do đó có thể gây ra “rủi ro an ninh không thể chấp nhận”.

Năm ngoái, Bộ trưởng Thương mại Gina Raimondo đã chặn việc bán phần mềm diệt virus của Kaspersky Lab (Nga) tại Mỹ, viện dẫn khả năng truy cập sâu của các chương trình bảo mật này vào hệ thống máy tính.

Bà nói: “Nga đã chứng minh rằng họ có năng lực — và hơn thế, có cả ý đồ — lợi dụng các công ty như Kaspersky để thu thập và vũ khí hóa dữ liệu cá nhân của người Mỹ. Đó là lý do chúng tôi buộc phải hành động”. Kaspersky khi đó phủ nhận mọi cáo buộc.

Theo luật, nếu Bộ trưởng Thương mại xác định rằng một công nghệ chịu ảnh hưởng nước ngoài gây rủi ro an ninh, Bộ có thể đề xuất các biện pháp giảm thiểu rủi ro. Nhưng trong trường hợp TP-Link Systems, các quan chức cho rằng không biện pháp nào ngoài cấm hoàn toàn có thể đủ, theo những người được thông báo về cuộc rà soát liên ngành.

Seedman, người phát ngôn của TP-Link Systems, nói rằng mọi lo ngại đều có thể được giải quyết bằng “những biện pháp hợp lý” như đưa các chức năng phát triển chủ chốt về Mỹ, đầu tư mạnh vào an ninh mạng, và tăng cường minh bạch với chính phủ. Ông cho biết công ty “đã nhiều lần tìm kiếm ý kiến của Bộ Thương mại về những mối quan ngại còn tồn tại, nhưng chưa nhận được phản hồi”.

Lý do Mỹ chần chừ

Việc các cơ quan liên bang khác phê chuẩn đề xuất đã đưa hồ sơ trở lại Bộ Thương mại, cơ quan này có thể gửi thông báo chính thức cho TP-Link Systems, cho công ty 30 ngày phản hồi. Sau đó, Bộ sẽ có thêm 30 ngày để xem xét phản hồi trước khi bất kỳ lệnh cấm nào có hiệu lực.

Theo The Washington Post, các quan chức lo ngại can thiệp vào các cuộc đàm phán thương mại với Trung Quốc, vốn đang bao gồm cả các vấn đề công nghệ khác. Ngoài ra, cuộc đóng cửa chính phủ gần đây cũng khiến Bộ Thương mại phải ưu tiên cho những vấn đề khác.

Ông Paul Triolo, đối tác tại DGA Group ở Washington, chuyên theo dõi các vấn đề công nghệ Mỹ - Trung, cho biết gần đây “chưa rõ liệu quyết định liên ngành có cần thêm phê chuẩn từ Nhà Trắng hay không”. Ông nói thêm: “Có thể chuyện này còn quá nhỏ để khiến Trung Quốc phản ứng mạnh”.

Thượng nghị sĩ Tom Cotton (Cộng hòa - Arkansas), Chủ tịch Ủy ban Tình báo Thượng viện, là người đã thúc đẩy điều tra TP-Link và hiện tỏ ra bức xúc vì chính phủ vẫn chưa hành động. Ông tuyên bố: “Việc tiếp tục cho phép bán các thiết bị mạng có liên quan đến Trung Quốc đại lục tại Mỹ đang khiến an ninh của chúng ta bị đe dọa và khiến các đối thủ Mỹ bị thiệt thòi”.

Nhiều thương hiệu bộ định tuyến gia đình và văn phòng nhỏ, trong đó có TP-Link, đã bị các nhóm tin tặc được cho là có địa chỉ từ Trung Quốc lợi dụng trong những năm gần đây. Chúng xâm nhập vào các thiết bị này để che giấu nguồn gốc các cuộc tấn công, theo kết luận của các cơ quan an ninh mạng chính phủ và khu vực tư nhân.

Một số chuyên gia bảo mật phàn nàn rằng TP-Link phản ứng chậm khi khắc phục các lỗ hổng sau khi bị phát hiện. Tháng trước, TP-Link Systems cho biết họ vẫn đang làm việc để vá lỗi cho các bộ định tuyến Mỹ bị ảnh hưởng bởi một lỗ hổng nghiêm trọng được phát hiện từ tháng 5. Công ty khẳng định thời gian phản hồi của mình đạt chuẩn ngành và thậm chí ít lỗ hổng được báo cáo hơn so với các đối thủ.

Thiết bị của TP-Link Systems không đóng vai trò nổi bật trong vụ tấn công quy mô lớn nhằm vào các nhà mạng viễn thông Mỹ bị phát hiện hơn một năm trước — vụ mà Thượng nghị sĩ Mark Warner gọi là “cuộc tấn công viễn thông tồi tệ nhất trong lịch sử quốc gia”. Tuy nhiên, Microsoft cho biết năm ngoái rằng các bộ định tuyến TP-Link Systems bị hack đã chiếm phần lớn mạng lưới bí mật mà các tin tặc Trung Quốc sử dụng từ ít nhất năm 2021 để đánh cắp thông tin đăng nhập của khách hàng nhạy cảm của tập đoàn phần mềm này.

Microsoft cho biết mạng lưới đó được nhiều nhóm tin tặc Trung Quốc sử dụng cho các nhiệm vụ gián điệp. TP-Link Systems đã phát hành bản vá cho các thiết bị bị ảnh hưởng vào tháng 11 — bốn tháng sau khi vụ tấn công được phát hiện — dù các thiết bị này đã hết vòng đời hỗ trợ. Công ty cho rằng hành động này cho thấy thiện chí vượt nghĩa vụ pháp lý nhằm hỗ trợ bảo mật.

Một số nhà sản xuất bộ định tuyến Mỹ khác cũng phụ thuộc vào các nhà máy tại Trung Quốc. Tuy nhiên, các quan chức Mỹ cho biết họ đặc biệt lo ngại về TP-Link, bởi theo luật Trung Quốc, các công ty trong nước phải tuân theo yêu cầu của cơ quan tình báo và phải báo cáo mọi lỗ hổng bảo mật cho Bắc Kinh. Họ cảnh báo rằng chi nhánh Trung Quốc thậm chí có thể bị ép tung ra các bản cập nhật phần mềm có thể thay đổi cách thiết bị hoạt động.

TP-Link Systems, có trụ sở tại California, khẳng định họ “không chịu sự chỉ đạo của bộ máy tình báo Trung Quốc” và khẳng định rằng chỉ các kỹ sư Mỹ mới có quyền phát hành bản cập nhật cho khách hàng Mỹ.

Tranh cãi pháp lý và điều tra chống bán phá giá

TP-Link Systems thuộc sở hữu của một trong hai anh em sáng lập TP-Link Technologies ở Trung Quốc và vợ ông ta. Công ty cho biết Jeffrey (Jianjun) Chao, giám đốc điều hành tại Irvine, đang xin quốc tịch Mỹ và có kế hoạch mở rộng đội ngũ nhân sự tại Mỹ.

Một thẩm phán liên bang ở Texas, trong vụ kiện bằng sáng chế không liên quan đến TP-Link Systems hai năm trước, từng nhận định rằng việc công ty Trung Quốc thay đổi cơ cấu tổ chức liên tục có vẻ nhằm né tránh trách nhiệm. Thẩm phán nói với luật sư của phía Trung Quốc: “Những bằng chứng mà chúng tôi có cho thấy thân chủ của ông đang cố tình che giấu mối liên hệ với TP-Link USA”.

Người phát ngôn Silverio phản hồi: “Vụ án ở Texas thậm chí không liên quan đến công ty TP-Link tại California. Các bị đơn khi đó là các thực thể nước ngoài của TP-Link, chưa có quan hệ với công ty ở California. Sau này, các bị đơn mới trở thành công ty liên kết với TP-Link California thông qua một loạt tái cấu trúc doanh nghiệp”.

Hiện chưa rõ chính xác những sản phẩm mạng nào sẽ bị ảnh hưởng trong phạm vi “lệnh cấm giao dịch” mà Bộ Thương mại định áp dụng, nhưng chắc chắn bao gồm các bộ định tuyến gia đình và văn phòng nhỏ.

Liên quan đến TP-Link Systems, Bộ Tư pháp cũng đang xem xét khả năng truy tố hình sự về hành vi trợ giá sản phẩm nhờ nguồn hỗ trợ từ chính phủ Trung Quốc, dẫn đến việc bán phá giá so với các đối thủ Mỹ, theo các nguồn tin nắm rõ các cuộc thảo luận liên ngành. Công ty phủ nhận điều này, nói rằng không hề bán dưới giá thành, đồng thời cho biết họ chưa nhận được thông báo nào về cuộc điều tra chống độc quyền, nhưng sẵn sàng hợp tác nếu được yêu cầu.