联想ThinkPlus加密U盘翻车：存储卡没加密，拔卡直接绕过读取

联想旗下的 ThinkPlus 指纹加密 U 盘最近被 安全研究员 拆解后确认：内部数据并没有真正加密，只要绕过指纹模块、取出存储卡，就能直接读取。换句话说，这款号称带硬件加密的 U 盘，主板上其实预留了一个 SD 卡槽，插在里面的存储卡本身是明文存放数据的。

指纹模块只控制连接，不加密数据

安全研究员李旭生（Xusheng Li，音译）在 2025 年拆解 FU100 时发现，这个 U 盘里装的是一张可拆卸存储卡。而指纹模块的工作方式也很简单：它只负责决定要不要接通 USB 连接。只有指纹验证通过，U 盘才能与电脑建立连接并读写数据。

真正的坑在于存储卡里的数据是明文的。只要有人拿到这个 U 盘，拆开后把卡拔出来，用普通读卡器插到电脑上，就能绕过联想宣传中的限制直接读取文件。联想在宣传页面提到过 AES-256 硬件加密，但从实际情况看，被加密的很可能只是指纹识别信息，而不是用户实际存储的文件。

联想最初的解决办法：用环氧树脂把存储卡糊上

这个问题早在 2025 年就被发现，同年 8 月，研究员把它报告给了联想。联想没有无视这份安全报告，但最初给出的方案却让人有点哭笑不得：在主板上给存储卡位置涂上一层环氧树脂，试图增加拔出存储卡的难度。

这显然只是个临时应对。想动手的人只需要小心把树脂刮掉，存储卡照样能取下来。好在联想后来调整了方案，开始为受影响型号提供售后升级服务，不再只是用树脂把卡糊住。

联想发布的安全公告

补充一下：联想在 2026 年 1 月已经发布过对应安全公告，并宣布为受影响设备提供换新升级。当时这则公告没有引起太大关注，最近这个加密 U 盘的问题又被翻出来讨论。还没有换新的用户，可以联系联想售后处理。

受影响的产品包括 ThinkPlus FU100、FU200、TU800 和 TSD303。不过它们的问题并不完全一样：例如 TSD303 指纹移动固态硬盘的数据本身是加密的，只是早期固件会把用户设置的正确密码通过 USB 明文传回电脑。

这类硬件拆解和加密翻车的案例，在 云栈社区 的硬件安全讨论里也经常被提到。