让人摸不着头脑：联想所谓的指纹加密U盘竟然是内置存储卡 拔卡即可绕过限制读取数据
内容提要
联想ThinkPlus指纹加密U盘被曝并不真正加密：其内部实为可插拔存储卡，数据以明文存储，指纹模块仅控制USB连接，拔出存储卡用读卡器即可绕过。联想最初以环氧树脂封卡应对，后于2026年1月发布公告，为FU100、FU200、TU800、TSD303等受影响型号提供换新升级。
延伸解读
“加密”名不副实：指纹模块只控制连接
文章指出，涉事U盘的指纹模块仅用于控制USB连接是否启用，而非对存储卡中的数据进行加密。用户通过指纹验证后，U盘才能与电脑连接并读取数据。但存储卡本身以明文保存数据，因此拆开U盘拔出存储卡，用读卡器即可绕过指纹限制。这与宣传中的AES-256硬件加密存在明显落差，也说明“加密”标签需区分是保护数据本身还是仅控制访问通道。
临时方案暴露设计缺陷：环氧树脂封卡治标不治本
联想最初以环氧树脂封住存储卡位置，增加拔出难度。文章认为这种临时方案没有实际意义，因为小心刮掉树脂并非难事。这反映出厂商在回应安全报告时，若只做物理阻挠而不从数据加密层面修复，难以真正消除风险。对用户而言，物理封装不能替代加密，设备是否安全应看数据是否以密文存储，而非拆解难度。
受影响型号与后续处理：换新升级已启动
联想于2026年1月发布安全公告，为FU100、FU200、TU800和TSD303等受影响型号提供换新升级。文章提醒，这些问题并不完全相同，例如TSD303指纹移动固态硬盘的数据经过加密，但早期固件会将用户设置的正确密码通过USB明文传回电脑。尚未换新的用户可联系联想售后。读者需注意，不同型号的风险点不同，不能一概而论。
Q&A
联想ThinkPlus指纹加密U盘真的能加密数据吗？
不能。安全研究员拆解发现，该U盘内部实为可插拔存储卡，数据以明文存储，指纹模块仅控制USB连接是否启用，拔出存储卡用读卡器即可绕过限制读取数据。
联想指纹加密U盘是如何被绕过指纹读取数据的？
攻击者只需拆开U盘，拔出内部存储卡，再通过读卡器连接电脑，即可直接读取明文数据，完全无视指纹验证。
联想最初针对该漏洞的修复方案是什么？
联想最初在存储卡位置使用环氧树脂封住，以增加拔出存储卡的难度，但这种方法并无实际安全效果。
哪些联想产品受到此安全问题影响？
受影响型号包括ThinkPlus FU100、FU200、TU800和TSD303。其中TSD303的问题不同：其数据已加密，但早期固件会通过USB明文传回用户密码。
联想后来是如何解决这个安全问题的？
联想在2026年1月发布安全公告，为受影响设备提供换新升级服务，不再仅用环氧树脂封堵。用户可联系售后更换升级版。
如果我已经买了问题U盘，现在该怎么办？
尚未换新的用户可联系联想售后服务，将问题U盘更换为升级后的版本。
