A Lenovo ThinkPlus FU100 foi vendida como un dispositivo de almacenaje con cifrado por hardware AES-256 y lectura biométrica de huella digital — el concepto era sencillo: solo quien pone el dedo en el sensor puede acceder a los archivos. Lo que el investigador de seguridad Xusheng Li descubrió al abrir el dispositivo es que el concepto nunca fue implementado: por dentro de la caja elegante había una tarjeta microSD común, sin ninguna capa de cifrado, y el lector de huella digital solo servía para conectar o desconectar la conexión USB del ordenador.
Li, desarrollador de la Vector 35, desmontó el dispositivo en 2025 y presentó sus descubrimientos en marzo de 2026 en la conferencia RE//reverse, con una frase que resume el problema: "es solo una tarjeta SD en una caja bonita". El lector biométrico controlaba el puerto, no los datos. Alguien con posesión física del dispositivo podía abrir la carcasa y leer los archivos sin nunca necesitar digitar una contraseña ni poner el dedo en el sensor.
La Lenovo publicó la advisory LEN-210545 el 13 de enero de 2026, clasificándola como de severidad alta. El documento lista tres CVEs. El CVE-2025-13453 describe una vulnerabilidad que permite la lectura de datos almacenados por alguien con acceso físico al drive — y el registro del CVE cita los cuatro modelos afectados: FU100, FU200, TU800 y TSD303. El CVE-2025-13454 filtra información del dispositivo para usuarios locales, mientras que el CVE-2025-13455 permite que alguien ya autenticado añada una nueva huella digital sin autorización del propietario.
Lo que hace el caso especialmente preocupante es que el FU100 no fue el único problema encontrado. La propia Lenovo, en su primera respuesta al informe de Li el 27 de agosto de 2025, aplicó una solución improvisada: pegamento epóxico sobre la tarjeta SD para impedir que fuera removida. Esta solución, que un analista llamó "ingeniería de seguridad de quien no entiende de seguridad", no cifró los datos — solo hizo más difícil sacarlos del aparato.
Li fue más allá del FU100. En octubre de 2026, conectó el sistema Codex de la OpenAI al Binary Ninja y analizó otras diez herramientas de seguridad de USB de varios fabricantes. El resultado fue sistemáticamente decepcionante. La herramienta NetacFileLock, de Netac, usaba una única clave AES-256 incrustada en el ejecutable, registraba contraseñas en archivos de log y cifraba solo parte de cada archivo con más de 1.024 bytes. La herramienta USB Copy Protection, de KakaSoft, ofrecía tres niveles de protección: "Normal" solo escondía los archivos, "Alto" hacía XOR solo al inicio de cada archivo con una clave de 1 byte (256 claves posibles) y "Máximo", que anunciaba Blowfish, generaba la clave a partir de una contraseña interna que el Codex recuperó en 26 minutos. La Nexcopy Copy Secure usaba Triple-DES, pero la clave de contenido vivía en un archivo de configuración que cualquier copia de la aplicación lectora podía abrir, porque la app llevaba un certificado fijo — el Codex necesitó 10 minutos.
El TSD303, por su parte, cifraba sus datos, pero fallaba en otro aspecto: una implementación inicial devolvía la contraseña correcta por USB para que el software compañero la comparara con la entrada del usuario. La primera corrección, a finales de 2025, cifraba esa comunicación con una clave derivada de un valor predecible parecido a timestamp. La segunda corrección, en diciembre de 2025, transfirió la verificación de contraseña para el propio drive, de modo que la contraseña correcta nunca más salió del aparato.
La resolución propuesta por Lenovo para los clientes afectados no implica una descarga de firmware. La empresa pide que los propietarios contacten con la línea de servicio en China, donde una verificación del número de serie decide si el drive es reemplazado o actualizado presencialmente. La empresa aconseja hacer backup y borrar el drive antes.
Lo que el caso revela es un problema más amplio: la creciente presión por productos de seguridad accesibles para usuarios empresariales y consumidores que no tienen presupuesto para hardware criptográfico dedicado. La Lenovo vendió miles de unidades del FU100 como solución de seguridad — y lo que entregó fue, literalmente, una tarjeta SD dentro de una caja. El problema no es exclusivo de Lenovo: diez dispositivos de varios fabricantes comparten el mismo kit interno y los mismos problemas, como mostró la investigación ampliada de Li.
Para administradores de TI, la lección es práctica: exija que el cifrado de datos ocurra dentro del propio dispositivo de almacenamiento, no en el software del ordenador. Verifique que la clave de cifrado nunca salga del drive, que haya certificación independiente (FIPS 140-2, Common Criteria) y que la protección sobreviva a la remoción física del componente de almacenamiento. Para usuarios individuales, el consejo es tratar el lector biométrico como un interruptor, no como cifrado: mueva archivos confidenciales a almacenamiento independientemente cifrado y use soluciones como BitLocker To Go en Windows o FileVault en macOS para proteger datos en dispositivos removibles.
La pregunta que queda: en un mercado de seguridad consumer cada vez más apresurado por lanzamientos, cuántos otros dispositivos prometen cifrado que en la práctica solo ofrece una fachada?
Fuentes: Tom's Hardware, Tech Prolonged, Tech Current
✓ Fuentes independientes cruzadas y verificadas antes de la publicación
