Lenovo schikt met Amerikaanse waakhond FTC om SuperFish-malware

Lenovo heeft een schikking getroffen met de Amerikaanse toezichthouder FTC. De computerfabrikant betaalt 3,5 miljoen dollar en mag niet langer ongevraagd adware installeren. Ook moet het bedrijf de komende twintig jaar regelmatig beveiligingscontroles uitvoeren.

Afgesproken in de schikking is dat Lenovo kopers van laptops duidelijk moet maken als er software wordt meegeleverd die data verzamelt of advertenties vertoont. Dergelijke software mag ook niet geïnstalleerd worden zonder nadrukkelijke toestemming van de gebruiker. Ook heeft Lenovo ingestemd met het laten uitvoeren van beveiligingsaudits op gebundelde software. Die controles moeten door een derde partij worden uitgevoerd en Lenovo moet dat twintig jaar lang laten doen.

Volgens Inverse kan de FTC geen boete opleggen aan Lenovo, maar hebben de procureurs-generaal van 32 staten een boete opgelegd en moet het bedrijf in totaal 3,5 miljoen dollar betalen. Uit het artikel blijkt ook dat de SuperFish-malware op zo'n 750.000 laptops stond. Voor iedere toekomstige overtreding van de overeengekomen schikking moet Lenovo een boete 40.654 dollar betalen.

De Amerikaanse toezichthouder FTC en 32 staten klaagden Lenovo aan vanwege de SuperFish-malware die in 2015 aan het licht kwam. De SuperFish-adware bleek ssl-verkeer te kapen met een ssl-certificaat waarvan de private key te achterhalen was. Dat maakte dat een man-in-the-middle-aanval zelfs tot inzage in https-verkeer kon leiden. De FTC beaamt dat dit een reëel risico vormde voor gebruikers van laptops waar de software op stond.

Reacties (46)

[Pierre]

Blijft natuurlijk te idioot voor woorden dat een fabrikant van hardware iets levert met fucking malware

[preske]

Sony deed het begin jaren 2000 al met rootkits. Het is dus van alle tijden

[FlotterPower]

"Most people don't even know what a rootkit is, so why should they care about it?"
De arrogantie van Sony was echt stuitend. Ze hebben toen ook een hotfix uitgebracht, daarover schrijft Ed Felten:

As the story was picked up by the popular press and public pressure built, Sony-BMG agreed to recall XCP discs from stores and to issue uninstallers for both XCP and MediaMax, but we discovered that both uninstallers created serious security holes on users’ systems.

Die zaak stonk echt aan alle kanten.

[Lohi]

Dit is voor mij dan ook de rede waarom ik voor lange tijd niets van lenovo zal aanschaffen

[SCS2]

Niet mee eens.
NU, na de boete, wordt het misschien wel het netste jongetje in de klas.
Ze zullen toch zeker voorzichtig moeten zijn.
Ik vind vooral die verplichte controles in de toekomst verbazend goed bedacht voor een ambtenarenclub.

[Accretion]

Ik zet er altijd een schone Windows installatie op, ben je meteen van het gezeik af.

De hardware/prijs van Lenovo is best prima. Ook is de support best prima.

[SCS2]

Niet zo, het verhaal is juist dat het via het bios "her-besmet" werd.

[Luchtbakker]

En wat zien de gebruikers er van terug? Die zijn uiteindelijk de dupe van lenovo's acties. Ik vind het wel mooi dat lenovo een flinke boete krijgt, maar eigenlijk moet dit een schadevergoeding naar de gebruikers zijn.

[RGAT]

Dat heeft niks met strafrecht te maken maar met civiel recht. Als jij je benadeelt voelt hierdoor kan je Lenovo gewoon aanklagen en een schadevergoeding oid eisen...

[daanb14]

Ik neem aan dat deze software niet op de ThinkPads stond? Weet iemand of dit het geval was? Het lijkt mij namelijk niet dat Lenovo dit flikt bij professionele laptops.

[theduke1989]

Professionele laptops gaan het domein in met een compleet nieuw image.

Denk niet dat hun er last van hebben?

[nomad_]

Ik meen me te herinneren dat het nare aan die Superfish was, dat het vanuit het BIOS geïnjecteerd werd in het OS. Waardoor het dus ook in schone installaties bleef terugkomen.

[hjkv]

Nee, dit was puur voor de consumenten lijn. De zakelijke verkopen hoeven hun winst niet uit bloatware te halen

[Quilt]

Minder dan 5 USD per laptop...

[dasiro]

boete, en nix voor de eigenaar

[dCv1972]

Vermeld er dan ook bij dat het hier uitsluitend ging om een serie consumenten laptops in de Idea range geleverd in 2014 en 2015. Ten onrechte wordt namelijk vaak gedacht dat deze software ook op Thinkpads geïnstalleerd was.

[Accretion]

Hmm. Nuja, terecht dat ook bedrijven hun vragen gaan stellen over de integriteit van Lenovo.
Ookal is het alleen bij consumenten laptops, die kunnen uiteindelijk ook in je netwerk belanden.

[AmigaWolf]

Wat maar €3,5 miljoen, wow, en hoe veel honderden miljoenen heeft Lenovo er aan verdient die SuperFish-malware?

[Reactie gewijzigd door AmigaWolf op 22 juli 2024 23:57]

[RGAT]

Heb je een bron dat Lenovo 'honderden miljoenen' heeft verdient met Superfish? Of een bron die aan geeft hoeveel ze dan wel verdient hebben?
De enige bron die ik kan vinden spreekt over 'Up To $250,000' namelijk...

[Gogar]

Gaat lekker bij Lenovo. Zag laatst ook iets over nep subwoofers in hun laptops https://www.youtube.com/watch?v=a0KloWxffpc

[da_PSI]

Je zag laatst wat, 2013...., oja, ik kan ook niet zien dat het om een Lenovo gaat... Kan net zo goed een HP, Dell, etc zijn

[M-en-M]

Hoewel ik het zelf ook niet zo heb op Lenovo, herinner ik me nog heel duidelijk dat er wel degelijk een "subwoofer" in die laptop zat, alleen niet op de plek die de designers besloten te showen.

Toendertijd hadden mensen de theorie dat het een deel was van het basreflexsysteem, als poort, maar de designers zullen hoogstwaarschijnlijk gewoon hebben gekeken naar wat er het meest "subwoofer-achtig" uit zag. Toch, het was in ieder geval geen échte neppe subwoofer, hij zag er alleen echt nep uit.

[Reactie gewijzigd door M-en-M op 22 juli 2024 23:57]

[Datastream]

Dat is wel een heel lage boete..

[Johan9711]

Het is geen boete, het is een schikking.

[darkfader]

Zou leuk zijn als de volgende fabrikant in zo'n situatie niet meer mag schikken en gelijk boete betalen.

[Johan9711]

Schikken kan altijd hè, een daadwerkelijke boete moet altijd via de rechter. Voordeel van een schikking is dat je een stuk minder juridische rompslomp hebt.

[knaakbert]

Mijn zwager had destijds een Thinkpad gekocht. Daar stond het af fabriek wel op.

[pietprecies01]

Superfish heeft nooit op thinkpad producten gestaan met één of twee uitzonderingen

[Harm_H]

Ik vind het wel vreemd dat Lenovo, er eigenlijk mee weg komt in Europa. Er zijn veel Lenovo producten hier en ik vraag me af of ze daar ook voor beboet worden.

De claimcultuur in Amerika lijkt Europese bedrijven heel veel geld te kosten (denk aan Volkswagen) terwijl Amerikaanse bedrijven (Lenovo, Ford, Microsoft) eigenlijk buiten schot blijven.

En van hot-naar-her springen als de ACM (marktautoriteit) of de Europese commissie een mini-boete oplegt.

[Lohi]

Europa jaagt enkel op google,
Ik vind het ook vreemd dat er geen reactie is gekomen vanuit de europese unie maar deze klagen meestal enkel de grote spelers aan om een voorbeeld te stellen dus misschien was lenovo in die tijd niet groot genoeg in de eu?