指纹验证不等于存储数据已经加密。IT之家11月1日援引外媒HackingPassion报道，研究员Xusheng Li在联想ThinkPlus FU100指纹识别U盘中发现，产品虽然宣称采用AES-256硬件加密，内部SD卡上的数据却完全以明文保存。另一款ThinkPlus TSD303指纹识别外置SSD也被发现存在密码泄露问题。
FU100的问题出在指纹验证与数据保护之间：研究员拆解后发现，电路板上装有一张SD卡，指纹识别器实际上只控制U盘与电脑连接的通断，并未对卡中的文件提供加密保护。联想安全公告将相关风险描述为：拥有设备物理访问权限的人，可以读取部分ThinkPlus U盘中存储的数据。
据报道，研究员于2025年8月向联想报告问题后，联想准备的临时方案是在SD卡上覆盖环氧树脂，增加拆卸难度，正式修复方案于同年12月推出。FU100用户可联系联想中国服务热线申请免费升级；联想核对序列号后，会安排寄回更换，或由工作人员上门升级固件。
TSD303的情况不同：其内部使用标准尺寸的M.2 SSD，数据确实经过加密。但当电脑上的联想程序请求密码时，硬盘会通过USB数据线明文返回正确密码。报道指出，能够监控通信数据或读取程序的人，可以由此获得密码。
研究员提交报告三个月后收到的测试修复版，改为发送加密数据，不再直接返回明文密码。但研究员追踪发现，这段数据使用SM4算法加密，密钥由一个看起来像时间戳的数值生成，并在测试中成功解密还原。报道据此指出，这一测试版修复仍不完整，因为程序能够推导密钥，分析程序的人也能做到。
后续修复不能与上述测试版混为一谈。据IT之家报道，TSD303的第二版修复方案已于2025年12月推出，改由硬盘自行验证密码。
联想于2026年1月13日发布安全公告LEN-210545，将相关漏洞评级为高危。其中，CVE-2025-13453涉及部分ThinkPlus U盘的物理访问风险；CVE-2025-13454涉及本地已登录用户访问设备敏感信息；CVE-2025-13455则涉及本地已登录用户绕过设备身份验证、注册不受信任的指纹。后两项均属于ThinkPlus配置软件漏洞。
原始来源：联想 ThinkPlus 指纹识别 U 盘被曝严重安全漏洞：宣称 AES-256 硬件加密，实际数据明文保存于 SD 卡