10月29日，网络安全媒体HackingPassion发布了一篇拆解报告：安全研究员Xusheng Li拆开了一款联想ThinkPlus FU100指纹U盘，这款详情页标注“AES-256硬件加密、防泄密”的产品，内部实际存储数据的只是一张普通SD卡，文件全部明文保存。哔哩哔哩知乎
指纹模块的活说穿了就是一个开关：验证通过，U盘通电、在电脑里出现；验证失败，消失。它管的是“电脑能不能看见这张卡”，从来不管“卡里的数据锁没锁”。谁拿到这只盘，花两分钟撬开外壳，把卡拔出来插进读卡器，存进去的合同扫描件、身份证照片就直接摊开在桌面上——不需要破解，指纹也用不上。知乎
这并不是一条刚出的瓜。据知乎用户梳理，联想官方安全公告LEN-210545今年1月就已发布，评级高危，涉及三个漏洞：物理接触即可读取明文数据、配套软件泄露设备敏感信息、绕过认证即可登记陌生指纹，受影响机型从FU100延伸到FU200、TU800和TSD303。研究员去年8月就向厂商上报了问题，最初的临时方案是在存储卡上糊一层环氧树脂胶水，让拆壳变难；正式方案拖到年底才出：寄回换新，或约师傅上门刷固件。公告还特别提醒用户，寄回前先备份并把数据彻底擦除——一个为保密设计的产品，最后建议你先清干净秘密。知乎知乎
11月初，这事重新发酵并登上知乎热榜，讨论焦点从一家厂商移到了整个品类。同一套指纹U盘方案铺给了多家厂商的九款设备。后续测评在别的“加密盘”里也发现写死的密钥、被记进日志的密码，甚至留着密码为“123456”的后门账户。截至11月初，涉事型号仍在自营店在售，累计评价超过5万条。知乎知乎
要说清楚的是，指纹识别并非没用，它挡得住随手插拔偷看，挡不住设备遗失。同样联想USB3.2双接口64G的容量，带指纹的FU100卖210元，普通版只要70元，多数人掏的三倍差价，买的恰恰是后面这条。知乎
如果你的U盘属于公告里的型号，先核对型号，按官方售后渠道维修或升级固件；存敏感文件，就在盘上再叠一层软件加密——BitLocker或VeraCrypt，密钥由你自己的口令推导，卡被拔走也读不出来。注意，Windows自带的“设备加密”并不自动覆盖外接U盘，BitLocker要单独对盘开启。恢复密钥要单独保管，别跟着盘一起丢。至于“硬件加密”四个字可不可信，眼下的答案比较苛刻：别看包装盒上印了什么，看具体型号有没有可查的安全公告、有没有能走通的维修通道。知乎
