TP-Link는 플로리다, 몬태나, 아이오와, 네브래스카가 회사의 중국과의 관계 및 생산 라우터의 보안 수준에 대해 소비자를 오도했다고 주장하는 소송을 제기하면서 미국에서 법적·규제상 압박이 심화되고 있다. 소송은 문제가 된 관행의 중단, 플로리다 소비자에 대한 배상, 해당 주의 소비자 보호법에 따른 벌금 부과를 요구한다.
이번 조치는 미국 연방통신위원회(FCC)가 소비자용 라우터가 전부 또는 일부 미국 외 지역에서 제조된 경우 이를 광범위하게 금지한다고 발표한 지 약 6개월 만에 나왔다. Netgear, Asus, Adtran, Amazon, Eero, Calix, Nokia, Starlink와 같은 기업은 면제를 받았지만, TP-Link는 아직 면제를 받지 못했다. 그 결과 회사는 미국 시장에서 최신 Wi‑Fi 8 기기를 판매할 수 없으며, 금지 조치 전에 승인을 받은 모델의 판매는 계속되고 있다.
혐의의 핵심
소송은 TP-Link가 라우터를 안전한 제품으로 소비자에게 제시하면서 중국과의 연계 및 취약점 악용 위험을 숨기거나 축소했다고 주장한다. 주 정부들은 중국 정부 기관과 연계된 해커들이 TP-Link 기기를 악용한 사례와 러시아 군사정보국(GRU)이 이러한 기기의 취약점을 악용했다는 언급을 비롯해 과거의 발언과 보안 관련 사안을 근거로 들었다.
플로리다주 법무장관 James Uthmeier는 중국의 지원을 받는 해커들이 미국 가정에 설치된 TP-Link 기기를 악용했다고 말했다. 또한 소송은 회사가 중국 군수업체와의 지속적인 연계나 정부 기관이 제품을 악용하는 것과 관련된 위험을 소비자에게 공개하지 않았다고 주장한다.
소송은 2025년 4월 Bloomberg가 보도한 내용을 언급했다. 보도에 따르면 베트남에 있는 회사 공장의 모든 부품은 현지 부품이 투입 가치의 0.5%를 차지하는 것을 제외하면 거의 전부 중국에서 수입됐다. 주 정부들은 최종 조립이 베트남에서 이뤄진다고 해서 중국에 대한 의존이 부정되거나 이러한 연계를 공개할 필요가 없어지는 것은 아니라고 본다.
TP-Link의 반응
회사는 소송을 부인하고 잘못되고 조직적인 근거에 기반한 것이라고 규정했다. 또한 미국에서 판매되는 TP-Link Systems 기기는 베트남에서 제조되며, 회사는 어떤 외국 정부도 소유하거나 통제하지 않는 독립적인 미국 기업이라고 밝혔다. 아울러 미국의 개인정보 보호 및 데이터 보호 법률을 준수하고, 종합적인 보안 테스트를 실시하며 독립 연구소를 이용한다고 덧붙였다. 회사는 고객 네트워크 데이터를 외국 정부나 권한이 없는 당사자와 공유하지 않는다고 강조했다.
TP-Link는 중국에서 설립됐으며, 중국 정부와 연관된 주요 조사와 공격이 이어지는 가운데 2024년 10월 본사를 캘리포니아로 이전했다. 이러한 사례 중에는 대부분의 기기가 TP-Link 기기였던 봇넷이 포함된다. 회사는 미국에 550명 이상의 직원을 두고 있으며, 이 가운데 수백 명의 엔지니어가 캘리포니아 본사에서 근무한다고 밝혔다.
실제로 무엇이 달라지는가?
금지 조치가 모든 TP-Link 기기가 미국 시장에서 사라진다는 뜻은 아니다. 금지 전에 승인을 받은 기존 제품은 여전히 판매되고 있다. 그러나 회사가 신제품을 출시하려면 FCC 절차를 통과해야 하며, 이를 위해서는 국방부 또는 국토안보부의 평가를 받아 국가 안보 위험이 없다는 점을 입증해야 한다. 또한 외국 제조를 사용하는 이유와 미국 내 제조를 확대하기 위한 구체적인 일정 계획도 제시해야 한다.
TP-Link는 최근 답변에서 다른 기업들과 마찬가지로 표준 승인 절차를 진행하고 있으며 미국 소비자를 위한 Wi‑Fi 8 제품군 출시를 추진하고 있다고 밝혔다. 출처는 면제 신청이 언제 결정될지 제시하지 않으며, 주 정부들의 주장이 법원에서 입증될지도 소송만으로는 확정되지 않는다. 따라서 이번 사안의 영향은 현재 TP-Link 모델을 넘어선다. 이 사건은 미국 당국이 가정용 네트워크 장비의 보안을 평가할 때 부품의 원산지와 공급망, 그리고 기업의 소유권 및 해외 관계에 대한 투명성에 얼마나 의존하는지를 시험한다.