TP-Link

福岡大学NTPサーバーへの過剰アクセス問題

2017年11月、TP-Linkの無線LAN中継器が公開されているNTPサーバーに過剰な負荷をかけている事が問題視された。当該の製品は5秒に1回という非常に高い頻度でNTPサーバーにリクエストを送信しており、1台あたり月間では715MBものトラフィックを発生させており、これは、Windowsが電源を入れる度に1度か、起動し続けている場合は週に1度しかNTPリクエストを送信しない事とくらべると明らかに過剰であった。このNTPサーバーのリストはファームウェアにハードコードされており、その中には日本の福岡大学も含まれていたため日本でも問題となった。

2017年12月、TP-Linkは前述のNTP問題について釈明を発表した。その中では本来ネットワークの時刻合わせに利用するプロトコルであるはずのNTPをインターネット接続の有無を確認するために利用している事や、それがネットワーク機器において一般的な挙動であると主張し、その頻度が問題であったためファームウェアのアップデートで修正するとした。なお、通常はインターネット接続の有無の確認はHTTPで行うとされる。

Aviraへのトラフィック無断送信問題

2022年3月、「TP-Link製ルーターは関連サービスをオフにしても第三者のサーバーに大量のトラフィックを送信している」という報告がRedditに投稿された。当該の無線LANルーターはドイツに本社を置くAviraの技術を利用したHomeShieldと呼ばれるネットワークセキュリティ機能を搭載しているが、投稿したユーザーはこの機能を無効化しているにもかかわらず、*.safethings.avira.comなどのドメインに24時間で8万回以上の大量のDNSクエリ（リクエスト）が送信されており、ユーザーに無断でデータが送信されていた。このユーザーからの問い合わせに対し、TP-Link側は有料サービスが存在するHomeShieldのアクティベーションの確認のためであるとし、Avira側は無料ユーザーの問い合わせにはサポートしないと返信していた。

この1年前の2021年5月、テック系レビューサイトで同社の別のルーターのレビューが掲載された際にも同様の短時間に大量のDNSクエリが確認されていた。この時のTP-Linkはレビュー掲載前のサイト側からの質問には回答せず、掲載した後になってから

• ユーザーからのリクエストがマルウェアか否かを確認するためにAviraのデータベースにアクセスしているものである
• HomeShieldが無効になっている時はこの機能も無効化するファームウェアアップデートを提供予定だが、時期は未定である

と回答を行っていたが、1年近く放置していた事になる。

2022年3月23日までにTP-Linkは公式サイトに声明を発表し、当該のDNSクエリには個人情報が含まれておらず、リクエストはAviraのサーバーIPアドレスを確認するためであると前述の2件とは異なる主張をした。異なる3件の主張のどれが正しいのか、なぜHomeShield無効化していてもクエリを送信するのか、なぜ24時間に8万回という異常なクエリを送信したのか、DNSでの名前解決後の実際の通信に具体的にどういったデータが含まれていたかは説明されていない。また、データを受け取った側であるAviraからも声明は出されていない。

BluetoothアダプターのMACアドレス重複問題

2022年4月13日、同社が販売するUSB接続のBluetoothアダプターが、一意であるはずのMACアドレスが重複した状態で販売されている事が報道された。MACアドレスが重複する事で複数のアダプタが存在する環境では正常に動作しなくなるなどの不具合が発生するが、TP-Linkは「ほとんどの環境で1台のアダプターを使用する事を想定してる」「ほとんどのブランドが同じMACアドレスを使用している事を確認している」などと主張し、あくまで仕様であるとした。

4月19日、TP-Linkは公式サイトを更新し、MACアドレスを共有しており、複数のアダプタが存在する環境では接続できない旨を明記した。

MACアドレスは原則一意である一方、ユーザーが自由に変更できる仮想マシンでの利用や、プライバシー保護のためにランダム化されている場合など、結果として重複する可能性や、一部の製造業者が同じアドレスを使いまわしている旨が国外では指摘されているものの、同様のBluetoothアダプターを国内で販売しているバッファローとアイ・オー・データでは「重複する事は無い」としている。

ネットギアとの特許侵害訴訟

2023年4月、競合企業の米ネットギア（NETGEAR）は、TP-Linkの一部の製品がネットギアの特許を侵害したとする訴訟を起こした。2024年6月、アメリカの行政法審判官がネットギアの主張を全て支持し、関連製品の流通を禁止することを提案した。2024年8月、両社は和解し、TP-Linkはネットギアに1.35億USドルを支払った。

Archer C50シリーズの脆弱性

2025年8月5日、TP-Linkが提供するルーター「Archer C50」の重大な脆弱性がJVNに掲載。このルーターの設定ファイルを守るための暗号鍵が、危殆化しており第三者による復号が容易であるDESであったこと、また、すべての機器で共通のものを使用しており、かつ外部から特定できる状態であったことが判明。TP-Link側はArcher C50をサポート終了し、ファームウェアアップデートやセキュリティサポートは提供されない状態になっている。