A Lenovo ThinkPlus FU100 era anunciada com criptografia AES-256, mas o pesquisador Xusheng Li teria encontrado os arquivos sem criptografia em um cartão interno. Segundo relatos publicados em 1º de novembro de 2026, o leitor de digitais liberava a conexão USB, sem criptografar os dados armazenados.
O que a digital fazia na FU100
A autenticação biométrica controla o acesso; a criptografia protege o conteúdo dos arquivos. Na FU100, segundo Li, a digital permitia conectar a unidade ao USB, enquanto os dados no cartão interno permaneciam sem criptografia. A análise original da unidade foi feita em 2025.
Onde o Codex entrou nos exames
Em análises posteriores de softwares de proteção de outros fornecedores, Li usou o OpenAI Codex junto com ferramentas de engenharia reversa. Os exames relatados apontaram uma chave fixa e uma senha de usuário nos registros de diagnóstico do software da Netac, em cerca de sete minutos. No USB Copy Protection, da KakaSoft, Li levou aproximadamente 26 minutos para reconstruir a senha interna e descriptografar um arquivo de teste sem a senha do usuário. No Copy Secure, da Nexcopy, levou cerca de dez minutos para identificar um certificado integrado ao aplicativo visualizador que liberava uma chave.
Esses tempos dizem respeito aos testes específicos de Li. O trabalho com Codex examinou softwares de proteção; a análise original da FU100 foi feita em 2025.
A TSD303 tinha uma falha diferente
Os relatos descrevem os dados da Lenovo TSD303 como criptografados, mas dizem que o projeto inicial enviava a senha correta pelo USB, em texto simples, para o software fazer a verificação. Uma primeira correção teria usado uma chave derivada de um valor semelhante a um registro de data e hora, que poderia ser reconstruída com o software da Lenovo. Uma correção posterior teria feito a própria unidade verificar a senha digitada.
Correções relatadas para quatro modelos
Relatos publicados em 1º de novembro de 2026 atribuíram à Lenovo correções para FU100, FU200, TU800 e TSD303. O processo descrito para a China previa contato com o serviço da empresa e a possibilidade de substituir a unidade ou receber uma atualização de firmware no local. A orientação era fazer backup dos dados e apagar a unidade antes de devolvê-la.
