Quatro estados a mais no processo, 60% do varejo americano e, no Brasil, um selo de conformidade da Anatel

O número que explica por que isso é notícia de mercado

Segundo a petição do Nebraska, a TP-Link detém pelo menos 60% do varejo americano de sistemas de Wi-Fi e roteadores de escritório pequeno e doméstico. Não é um fornecedor entre outros. É o padrão de fato da prateleira.

Os pedidos variam por estado e dão a medida do que se busca. A Flórida quer ordem permanente, devolução de lucro e US$ 10 mil por violação intencional. Montana pede até US$ 10 mil por violação. Nebraska quer algo mais interessante do que dinheiro: ordem obrigando a empresa a revelar a origem do produto, os vínculos com a China e as vulnerabilidades sabidamente exploradas.

Esse último pedido é o que merece atenção de quem compra equipamento, em qualquer país. Transformar "falha conhecida e explorada" em informação obrigatória no ponto de venda é uma mudança de regra, não uma indenização.

A trilha técnica que as petições usam

As ações não alegam porta de trás instalada pela fabricante. Elas montam um histórico de aparelho vulnerável sendo usado em operação de Estado.

• 2024: a Microsoft descreveu uma botnet de roteadores invadidos operada por um grupo ligado à China, composta em grande parte por equipamentos TP-Link, com cerca de 8 mil aparelhos ativos a cada momento.
• Abril de 2026: o FBI atribuiu à inteligência militar russa a exploração da CVE-2023-50224 para alterar configuração de DNS e coletar senha e token. A empresa respondeu que a maioria dos produtos afetados já tinha saído de suporte.
• A campanha Horse Shell, descrita pela Check Point Research, implantou porta de trás em roteadores TP-Link. As petições não dizem que a fabricante a construiu.
• Junho de 2026: o Departamento de Defesa americano listou a TP-Link Technologies como empresa militar chinesa. A TP-Link Systems não está na lista.

A frente mais recente é de falha, não de geopolítica. A própria TP-Link mantém um boletim, com última atualização em 10 de agosto, para cinco vulnerabilidades nos produtos da linha Aginet, as variantes gerenciadas por provedor de acesso. Em 8 de outubro a SEC Consult detalhou o conjunto:

O boletim lista 65 linhas de modelo, e cada linha pode cobrir várias variantes. Nenhuma das cinco estava no catálogo americano de falhas exploradas até 8 de outubro.

Há um detalhe operacional nesse boletim que vale mais que as notas: a própria fabricante avisa que a imagem de firmware das variantes específicas de provedor pode não estar disponível para download público, e manda o usuário conferir na interface de gerência ou falar com o provedor. Quem tem roteador de operadora em casa não controla a própria correção. Isso não é uma falha de produto. É um modelo de distribuição em que o dono do risco e o dono da atualização são pessoas diferentes.

O que a FCC já mudou, e o que ainda não decidiu

Desde 23 de março de 2026 a FCC não concede autorização de equipamento a roteador de consumo fabricado no exterior, a menos que ele obtenha uma aprovação condicional do Departamento de Segurança Interna ou do Departamento de Defesa. Roteador já autorizado continua podendo receber atualização de segurança até pelo menos 1º de março de 2027, por dispensa da própria agência.

A carta de 7 de outubro, liderada pelo procurador-geral do Nebraska, Mike Hilgers, não pede que a FCC negue nem adie a aprovação. Levanta as dúvidas e diz que a agência deveria tratá-las antes de autorizar esses novos roteadores para venda. Montana foi mais direto: seu procurador-geral declarou esperar que a FCC recuse a aprovação.

Repare no deslocamento. O instrumento que pode efetivamente tirar o produto da prateleira é regulatório, não judicial. Os processos de consumo servem para produzir o registro público que alimenta a decisão regulatória. É uma estratégia de duas mãos, e ela leva tempo.

E no Brasil, onde a mesma empresa tem selo

Aqui a história corre em sentido oposto, e é onde a comparação fica útil.

Em outubro de 2025 a TP-Link anunciou aprovação na auditoria de cibersegurança da Anatel, que verifica conformidade com o Ato nº 16.417/2024 e valida o ciclo de desenvolvimento seguro do fabricante, cobrindo projeto, firmware, atualização e controle de vulnerabilidade. Desde 26 de novembro de 2025, operadoras, prestadoras e provedores no Brasil só podem comprar equipamento de fabricante auditado e aprovado pela Anatel. Carlos Santos, gerente de produto da TP-Link Brasil, descreveu o resultado como validação pública de que os processos da empresa seguem padrões internacionais.

Ele tem razão quanto ao que o selo diz. O problema é o que ele não diz. A auditoria brasileira examina processo de desenvolvimento. A disputa americana é sobre propriedade, controle, origem de componente e exposição a lei estrangeira. São perguntas diferentes, e passar na primeira não responde a segunda.

Isso não é crítica à Anatel. O Ato nº 16.417/2024 foi escrito para elevar o piso técnico do equipamento vendido no país, e nesse objetivo a exigência de auditoria é um avanço raro na região. O ponto é que o comprador brasileiro de rede, público ou privado, não tem no arcabouço nacional nenhum instrumento equivalente ao que a FCC passou a aplicar. Quem quiser considerar origem e cadeia de controle na decisão precisa colocar isso no próprio edital ou no próprio contrato, porque a regulação não vai colocar por ele.

O que o comprador pode fazer já na próxima compra

• Exigir no contrato data de fim de suporte por modelo, por escrito, antes de comprar. A defesa mais usada da fabricante nos casos citados foi que o produto afetado já estava fora de suporte. Se isso é defesa válida, então a data de fim de suporte é informação de compra.
• Em equipamento gerenciado por provedor, definir em contrato quem aplica firmware, em que prazo, e como o cliente verifica a versão instalada. Sem isso, o risco é do cliente e o controle é de terceiro.
• Pedir a lista de falhas conhecidas e exploradas que afetam o modelo cotado. É exatamente o que o Nebraska está tentando tornar obrigatório, e nada impede que um comprador peça por conta própria.
• Tratar roteador de borda como ativo com inventário e ciclo de vida, não como material de consumo. É o item com mais tempo de permanência e menos atenção na maioria dos parques.
• Separar duas perguntas na análise de fornecedor: o produto é seguro e quem controla o fornecedor. A segunda não aparece em certificação técnica nenhuma, aqui ou lá.

O que esperar

Processo de consumo em cinco estados não tira roteador do mercado. O que ele faz é produzir depoimento, documento e descoberta, e esse material vira insumo da FCC e de agência equivalente em outros países. É um ciclo lento, e pode terminar sem decisão alguma contra a empresa.

Enquanto isso, o efeito prático mais provável é o de sempre: pergunta nova no questionário de fornecedor. Origem de componente, estrutura de controle societário, prazo de suporte e responsabilidade pela atualização vão migrar da conversa informal para a planilha de compra. É pouco, mas é a parte que não depende de nenhum tribunal.