トップ ＞ テクノロジー

暗号化をうたう指紋認証USBメモリ、中身は暗号化なしのSDカード

内容

何が起きたのか

問題の製品は、Lenovoの指紋認証付きUSBメモリ「ThinkPlus FU100」です。指紋認証とパスワード認証に対応し、256ビットの鍵を使うAES-256によるハードウェア暗号化をうたっていました。販売価格は、現時点で明らかになっていません。

セキュリティ企業Vector 35の研究者シュシェン・リー氏が2025年にこの製品を分解しました。すると基板には一般的なmicroSDカードが取り付けられており、カード内のデータは暗号化されていなかったといいます。

なぜこうなったのか

FU100の指紋認証は、USBメモリをパソコンに接続してよいかを判断するだけのものでした。保存データの暗号化には関わっていなかったと報じられています。これが意図的な偽装だったのか、設計上のミスだったのかは、現時点で明らかになっていません。

考えられる影響

外装を開けてSDカードを直接読み取れば、指紋もパスワードも入力せずにファイルを見られる状態でした。紛失や盗難にあった場合、第三者に中身を読まれるおそれがあったことになります。実際の被害が出たかどうかは、現時点で明らかになっていません。

メーカーの対応

リー氏は2025年8月2日にLenovoへ問題を報告しました。Lenovoは同月27日に暫定対策を用意しています。SDカードをエポキシ樹脂で覆い、取り外しにくくする内容です。その後、本格的な修正を進めたとされています。

購入済みの製品について、返金や回収の対応があるかどうかは、現時点で明らかになっていません。

ほかの製品の調査結果

リー氏は同社の外付けSSD「ThinkPlus TSD303」も調べています。この製品では保存データ自体は暗号化されていました。ただし認証の際に、正しいパスワードがUSB経由でパソコンに送られていたため、通信を調べればパスワードを取得できました。Lenovoはその後、SSDの内部でパスワードを照合する方式に変更したとのことです。

リー氏は2026年3月のセキュリティ関連イベントで、これらの調査結果を発表しました。さらに10月には、OpenAIのAIコーディングツール「Codex」と解析ツールを組み合わせた追加調査の結果も公開しています。追加調査では、他社製の暗号化ソフトやコピー防止ソフトで次の問題が見つかったと報じられています。

• 暗号鍵が固定値として組み込まれていた例
• パスワードなしでテストファイルを復号できた例（いずれも数分〜数十分で判明）
• 通常の管理画面に表示されないアカウントが存在していた例

リー氏は、アクセス制限があるだけで安心せず、データが適切に暗号化されているかをユーザー自身が確かめることが大切だと述べています。

注目ポイント

セキュリティを理由に選ばれる製品で、肝心の暗号化が機能していなかったという意外さが関心を集めています。重要な書類や個人情報を持ち運ぶ人にとって身近な問題です。また、AIを使った解析で短時間のうちに複数製品の弱点が見つかった点も注目されています。購入者への補償の有無が、今後の焦点になりそうです。

ネットでの反応

ネット上では、記憶媒体が普通のSDカードでも、暗号化したうえで保存していれば問題はなかったという声が出ています。そのうえで、平文のまま保存していたことを問題視し、返金を求める意見が見られます。

「形だけの指紋認証」と皮肉る声や、セキュリティ製品への信頼が揺らいだという受け止めもあります。報道では他社製品の調査結果やAIを使った解析も詳しく伝えられていますが、反応はLenovo製品への批判に集中しています。

参考記事

• 指紋認証&暗号化対応のUSBメモリを分解したら中身は暗号化されていない普通のSDカードだったことが判明GIGAZINE　2026年11月2日 12:36

ランキング登場履歴

この記事の内容に誤りを見つけた方は 情報の誤りを報告 からお知らせください。