Twee type Linksys-routers versturen inloggegevens voor het wifi-netwerk in plaintext naar Amerikaanse Amazon-servers, zo stelt Testaankoop, de Belgische tegenhanger van de Consumentenbond. Het gaat om de Linksys Velop Pro 6E en Velop Pro 7, twee mesh-routers.

"Tijdens de installatie verzond de router verschillende gegevenspakketten naar een server van Amazon in de VS. Deze pakketten bevatten de geconfigureerde SSID-naam en -wachtwoord in gewone tekst, en ook enkele identificatietokens voor dit netwerk binnen een bredere database én een toegangstoken voor een gebruikerssessie die mogelijk een MITM-aanval (man-in-the-middle-aanval) mogelijk zou kunnen maken", aldus Test-Aankoop.

De consumentenorganisatie meldt dat de routers op het moment van de test over de meest recente firmware beschikten. Testaankoop waarschuwde Linksys vorig jaar november, maar naar eigen zeggen zonder succes. Er verscheen in de maanden na de waarschuwing wel een firmware-update, alleen die blijkt het probleem niet op te lossen.

Testaankoop vermoedt dat het beveiligingsprobleem wordt veroorzaakt door third-party software waar de Linksys-firmware gebruik van maakt. "Maar dat rechtvaardigt het niet", zo laat de consumentenorganisatie verder weten. Die raadt het 'ten zeerste af' om de Linksys-routers te kopen. "Omdat er een ernstig risico is op netwerkinbraak en gegevensverlies. We betreuren het gebrek aan reactie van Linkys en hadden meer verwacht van zo'n gerenommeerd merk."

Mensen die de betreffende routers al in bezit hebben wordt aangeraden om de naam van het wifi-netwerk en het bijbehorende wachtwoord via de webinterface aan te passen in plaats van met de app. "Hiermee voorkom je dat je wifi-netwerknaam en wachtwoord in leesbare tekst worden gedeeld", aldus Testaankoop.