De Amerikaanse Federal Trade Commission (FTC) heeft de schikking goedgekeurd die eerder dit jaar met de Taiwanese elektronicafabrikant Asus werd getroffen. De FTC beschuldigde Asus ervan dat het geen redelijke maatregelen had getroffen om de routers die het aanbiedt te beveiligen, ook al deed het bedrijf wel beloftes aan gebruikers over hun veiligheid.

Door verschillende ernstige kwetsbaarheden in de routers liepen volgens de FTC honderdduizenden gebruikers risico. Vorig jaar april ontdekte een onderzoeker dat criminelen van een ernstige kwetsbaarheid gebruikmaakten om verkeer van consumenten om te leiden. Door verschillende ontwerpfouten werden de kwetsbaarheden daarnaast vergroot, waaronder het feit dat Asus het standaardwachtwoord 'admin' gebruikte en consumenten toestond dit wachtwoord te blijven gebruiken.

Daarnaast waren de routers van verschillende onveilige clouddiensten voorzien waardoor kwaadwillenden toegang tot gevoelige informatie kunnen krijgen, zoals belastingdocumenten. Het gaat om AiCloud en AiDisk, waardoor mensen usb-harde schijven aan de router kunnen aansluiten om hun eigen "cloudopslag" te maken. Volgens de FTC had Asus onvoldoende maatregelen getroffen om de software op de routers te beveiligen.

Via een kwetsbaarheid in AiCloud konden aanvallers het inlogvenster omzeilen en volledige toegang tot de aangesloten harde schijf krijgen. Het aanroepen van een specifieke url was hiervoor voldoende. Ook maakte AiDisk geen gebruik van encryptie bij het uitwisselen van bestanden. In 2014 maakten criminelen gebruik van deze kwetsbaarheden om toegang tot de harde schijven van zo'n 13.000 consumenten te krijgen.

De FTC stelde dat Asus de kwetsbaarheden niet tijdig had opgelost en gebruikers niet over de risico's van kwetsbare routers had ingelicht. Zo liet de updatetool van de router weten dat het apparaat up-to-date was, ook al waren er beveiligingsupdates beschikbaar.

Schikking

Als onderdeel van de schikking die met de FTC is gesloten zal Asus een uitgebreid beveiligingsprogramma opstellen en uitvoeren en dit programma de komende 20 jaar door onafhankelijke audits laten controleren. Tevens zal Asus klanten moeten waarschuwen voor de beschikbaarheid van updates, bijvoorbeeld via e-mail of sms. De elektronicafabrikant mag klanten daarnaast niet meer misleiden over de veiligheid van de producten, waaronder of een apparaat up-to-date software gebruikt. Na publicatie van de schikking kon het publiek hierop reageren, waarna de FTC de voorwaarden zou goedkeuren, wat nu is gedaan.