A Lenovo ThinkPlus FU100 foi vendida como um dispositivo de armazenamento com criptografia por hardware AES-256 e leitura biométrica de impressão digital — a ideia era simples: só quem coloca o dedo no sensor consegue acessar os arquivos. O que o investigador de segurança Xusheng Li descobriu ao abrir o dispositivo é que o conceito nunca foi implementado: por dentro do corpo elegante, havia um cartão microSD comum, sem qualquer camada de cifragem, e o leitor de impressão digital servia apenas para ligar ou desligar a conexão USB do computador.
Li, desenvolvedor da Vector 35, desmontou o dispositivo em 2025 e apresentou suas descobertas em março de 2026 na conferência RE//reverse, com uma frase que resume o problema: "é apenas um cartão SD em uma caixa bonita". O leitor de biometria controlava a porta, não os dados. Alguém com posse física do dispositivo podia abrir a carcaça e ler os arquivos sem jamais precisar digitar uma senha ou colocar o dedo no sensor.
A Lenovo publicou a advisory LEN-210545 em 13 de janeiro de 2026, classificando-a como de severidade alta. O documento lista três CVEs. O CVE-2025-13453 descreve uma vulnerabilidade que permite a leitura de dados armazenados por alguém com acesso físico ao drive — e o registro do CVE cita todos os quatro modelos afetados: FU100, FU200, TU800 e TSD303. O CVE-2025-13454 vaza informações do dispositivo para usuários locais, enquanto o CVE-2025-13455 permite que alguém já autenticado adicione uma nova impressão digital sem autorização do proprietário.
O que torna o caso especialmente preocupante é que o FU100 não foi o único problema encontrado. A própria Lenovo, em sua primeira resposta ao relatório de Li em 27 de agosto de 2025, aplicou um remendo improvisado: colar epóxi por cima do cartão SD para impedir que fosse removido. Essa solução, que um analista chamou de "engenharia de segurança de quem não entende de segurança", não cifrou os dados — apenas tornou mais difícil tirá-los do aparelho.
Li foi além do FU100. Em outubro de 2026, conectou o sistema Codex da OpenAI ao Binary Ninja e analisou outras dez ferramentas de segurança de USB de vários fabricantes. O resultado foi sistematicamente decepcionante. A ferramenta NetacFileLock, da Netac, usava uma única chave AES-256 embutida no executável, registrava senhas em arquivos de log e criptografava apenas parte de cada arquivo com mais de 1.024 bytes. A ferramenta USB Copy Protection, da KakaSoft, oferecia três níveis de proteção: "Normal" apenas escondia os arquivos, "Alto" fazia XOR apenas no início de cada arquivo com uma chave de 1 byte (256 chaves possíveis) e "Máximo", que anunciava Blowfish, gerava a chave a partir de uma senha interna que o Codex recuperou em 26 minutos. A Nexcopy Copy Secure usava Triple-DES, mas a chave de conteúdo vivia em um arquivo de configuração que qualquer cópia do aplicativo leitor podia abrir, porque o app carregava um certificado fixo — o Codex precisou de 10 minutos.
O TSD303, por sua vez, cifrava seus dados, mas falhava em outro aspecto: uma implementação inicial devolvia a senha correta por USB para que o software companheiro a comparasse com a entrada do usuário. A primeira correção, no final de 2025, cifrava essa comunicação com uma chave derivada de um valor previsível semelhante a timestamp. A segunda correção, em dezembro de 2025, transferiu a verificação de senha para o próprio drive, de modo que a senha correta nunca mais saiu do aparelho.
A resolução proposta pela Lenovo para os clientes afetados não envolve um download de firmware. A empresa pede que os proprietarios entrem em contato com a linha de serviço na China, onde uma verificação do número de série decide se o drive é substituído ou atualizado presencialmente. A empresa aconselha fazer backup e apagar o drive antes.
O que o caso revela é um problema mais amplo: a crescente pressão por produtos de segurança acessíveis para usuários empresariais e consumidores que não têm orçamento para hardware criptográfico dedicado. A Lenovo vendeu milhares de unidades do FU100 como solução de segurança — e o que entregou foi, literalmente, um cartão SD dentro de uma caixa. O problema não é exclusivo da Lenovo: dez dispositivos de vários fabricantes compartilham o mesmo kit interno e os mesmos problemas, como mostrou a investigação ampliada de Li.
Para administradores de TI, a lição é prática: exija que a criptografia de dados ocorra dentro do próprio dispositivo de armazenamento, não no software do computador. Verifique se a chave de cifra nunca sai do drive, se há certificação independente (FIPS 140-2, Common Criteria) e se a proteção sobrevive a remoção física do componente de armazenamento. Para usuários individuais, o conselho é tratar o leitor biométrico como um interruptor, não como criptografia: mova arquivos confidenciais para armazenamento independentemente cifrado e use soluções como BitLocker To Go no Windows ou FileVault no macOS para proteger dados em dispositivos removíveis.
A pergunta que fica: num mercado de segurança consumer cada vez mais apressado por lançamentos, quantos outros dispositivos prometem cifragem que na prática só oferecem uma fachada?
Fontes: Tom's Hardware, Tech Prolonged, Tech Current
✓ Fontes independentes cruzadas e verificadas antes da publicação
