Lenovos säkra USB-sticka var bara ett vanligt minneskort

ThinkPlus FU100 såg ut som en produkt byggd för känsliga filer. Användaren kunde låsa upp enheten med sitt fingeravtryck eller lösenord och marknadsföringen beskrev hårdvarubaserad AES-256-kryptering.

Säkerhetsforskaren Xusheng Li från Vector 35 började undersöka enheten under 2025. När han plockade isär den hittade han ett microSD-kort monterat inuti skalet. Datan på kortet var inte krypterad.

Fingeravtrycksläsaren fungerade i stället som en spärr för själva USB-anslutningen. När rätt finger godkändes kopplades lagringen till datorn. Men den bakomliggande informationen skyddades inte kryptografiskt på själva minneskortet.

Tar du ut kortet försvinner skyddet

Skillnaden är avgörande. Riktig kryptering innebär att informationen som ligger lagrad på minnet är oläsbar utan rätt kryptografisk nyckel. Även om någon får fysisk tillgång till lagringskretsen ska innehållet fortfarande se ut som meningslös data.

Så fungerade inte den undersökta första generationen av FU100.

Den som kunde öppna USB-stickan och komma åt microSD-kortet kunde enligt forskningen läsa informationen direkt. Något fingeravtryck behövdes då inte.

Lenovo har senare registrerat problemet som CVE-2025-13453. Företaget bekräftar att första generationen av bland annat ThinkPlus FU100 har en sårbarhet där någon med fysisk tillgång kan läsa information som finns lagrad på enheten.

Den specifika sårbarheten har klassats som medelhög allvarlighetsgrad eftersom angriparen måste ha fysisk tillgång till produkten.

Första lösningen var att limma fast minneskortet

Li rapporterade problemet till Lenovo i augusti 2025.

Enligt forskningen var en tidig åtgärd ovanligt fysisk. Lenovo täckte minneskortet med epoxiharts för att göra det betydligt svårare att plocka loss.

Det hindrar någon från att enkelt ta ut kortet, men är inte samma sak som att informationen krypteras.

Senare tog Lenovo fram en bredare åtgärd för berörda ThinkPlus-produkter. Den omfattar första generationen av FU100, FU200 och TU800 samt den externa SSD-enheten TSD303.

Lenovos nuvarande säkerhetsinformation hänvisar berörda användare till företagets serviceorganisation i Kina. Beroende på serienummer kan enheten behöva ersättas eller få en serviceåtgärd.

TeknikGeek har inte kunnat verifiera att FU100 har sålts officiellt av Lenovo i Sverige. Modellen tycks framför allt ha riktats mot den kinesiska marknaden, vilket också förklarar varför Lenovos supportlösning hänvisar till den kinesiska organisationen.

Lenovo hittade ytterligare säkerhetshål

Det okrypterade minneskortet är inte det enda problemet Lenovo har bekräftat i produktfamiljen.

En separat sårbarhet, CVE-2025-13455, finns i konfigurationsprogramvaran för första generationens FU100, FU200, TU800 och TSD303. En lokalt inloggad användare kan under vissa förutsättningar kringgå autentiseringen och registrera ett obehörigt fingeravtryck.

Den sårbarheten har fått CVSS 7,8 av 10 och klassas som hög allvarlighetsgrad.

Det är viktigt att skilja problemen åt. Det är den undersökta FU100 som avslöjades med ett okrypterat minneskort. Att de andra modellerna finns med i Lenovos säkerhetsvarning betyder inte automatiskt att de är konstruerade på exakt samma sätt.

TSD303 hade exempelvis ett annat problem. Där var informationen faktiskt krypterad, men forskningen visade brister i hur lösenordet hanterades mellan enheten och datorn.

Läs mer: Sony bekräftar jätteläcka: Över två miljoner uppgifter läckta

AI knäckte andra säkerhetsprodukter på minuter

Historien har fått ny aktualitet genom Lis fortsatta forskning.

Den 22 oktober publicerade han en ny genomgång där han använde AI tillsammans med analysverktyget Binary Ninja för att undersöka flera andra produkter som marknadsförs som säkra eller krypterade.

Den nya AI-analysen gäller alltså inte upptäckten av det okrypterade minneskortet i Lenovo FU100. Det fyndet gjordes tidigare av Li själv.

I den nya undersökningen användes bland annat OpenAI Codex för att analysera programkoden bakom andra USB-säkerhetsprodukter.

I ett av fallen lyckades AI-verktyget på omkring sju minuter återupptäcka en svaghet som Li tidigare hade analyserat manuellt. Programvaran använde en fast AES-nyckel inbyggd direkt i programmet, vilket gjorde att användarens lösenord inte var det som faktiskt skyddade de krypterade filerna.

I en annan produkt hittade forskningen inbyggda konton med fasta lösenord som kunde användas för att komma åt krypterat innehåll utan användarens eget lösenord.

Li beskriver det tekniskt som en bakdörr, men betonar att det inte innebär att tillverkaren avsiktligt byggt in funktionen i skadligt syfte.

AES-256 på kartongen säger inte allt

Historien visar också problemet med att bedöma säkerhet utifrån en specifikation.

AES-256 är en etablerad krypteringsstandard. Men texten AES-256 på en produkt säger väldigt lite om säkerheten om krypteringen aldrig appliceras på filerna eller om nycklar och lösenord hanteras fel.

I FU100 behövde angriparen inte knäcka AES-256. Det fanns helt enkelt ingen sådan kryptering att knäcka på det undersökta minneskortet.

Samma princip gäller andra säkerhetsprodukter. En mycket stark krypteringsalgoritm hjälper inte om nyckeln ligger fast inbyggd i programvaran, om lösenordet går att läsa ut eller om det finns en enklare väg runt skyddet.

Läs mer: Har du Iphone? Därför borde du uppdatera nu

Har du känsliga filer bör du kontrollera mer än fingeravtrycket

För vanliga användare är lärdomen ganska enkel.

En fingeravtrycksläsare på en USB-sticka betyder inte automatiskt att informationen på enheten är krypterad. Biometrisk upplåsning och kryptering är två olika säkerhetsfunktioner.

Om en USB-enhet ska användas för känsliga dokument är det därför värt att kontrollera exakt hur krypteringen fungerar och om produkten har oberoende säkerhetsgranskningar.

För FU100 är skillnaden extra tydlig. Fingeravtrycket kunde hindra någon från att ansluta USB-stickan på vanligt sätt. Men när forskaren gick förbi skalet fanns filerna fortfarande där, fullt läsbara på ett vanligt minneskort.