電腦維修 · 2026年11月2日 · ComputerKing 團隊
寫住「AES-256 加密」嘅 Lenovo USB 手指，原來入面只係一張普通 SD 卡？ThinkPlus 加密手指檢查＋資料安全自保指南
2026 年 10 月底有報道指，Lenovo ThinkPlus FU100 指紋 USB 手指雖然標榜 AES-256 加密，入面實際只係一張冇加密的普通 SD 卡，指紋掣只係開關 USB 連接。今篇教你點對型號、點理解 Lenovo 官方通告 LEN-210545，同埋以後點樣先至算真正加密，收費需個別報價。
重點摘要
2026 年 10 月 29 日有報道整理一項保安研究：Lenovo ThinkPlus FU100 指紋 USB 手指雖然標榜 AES-256 加密，研究人員拆開之後發現，入面實際只係一張冇加密的普通 SD 卡。指紋識別掣嘅作用，據報道只係開關 USB 連接，唔係用嚟解密資料。換句話講，任何人攞到隻手指、識得拆開個殼，就有機會直接讀到入面嘅檔案，完全唔使經過指紋。
今篇唔係叫你即刻掉晒所有 USB 手指，亦唔會教你點樣拆開自己隻手指去驗證——拆殼本身有機會整壞隻手指同令保養出問題。今篇只講三樣實際嘅事：第一，點樣對型號，睇下自己隻手指係咪喺 Lenovo 官方通告範圍；第二，通告入面講嘅處理方法係咩，點解唔係「下載個更新就搞掂」；第三，以後點樣先至算真正保護到手指入面嘅資料。收費需個別報價。
一、新聞講咗啲咩：先分清邊個型號、邊種問題
報道整理嘅研究，由 Vector 35 開發人員 Xusheng Li 喺會議演講入面公開。佢形容 FU100 係「一個靚殼入面嘅普通 SD 卡」。時間線據報道係咁：研究人員 2025 年 8 月 2 日向 Lenovo 通報，Lenovo 8 月 27 日第一個回應係用膠封住 SD 卡，之後先至喺 2026 年 1 月 13 日發出正式保安通告 LEN-210545，評級為高。
通告涵蓋嘅型號，據報道包括四款：ThinkPlus FU100、FU200、TU800，以及外置 SSD TSD303。但四款嘅問題並唔係完全一樣，要分開講，唔好一概而論：
- FU100、FU200、TU800：問題核心係「物理接觸就可以讀到資料」，編號 CVE-2025-13453。意思即係，攻擊者唔使知道指紋或者密碼，只要攞到隻手指並且可以接觸到入面嘅儲存部分，就有機會讀到檔案。
- 另外兩個編號同隨附軟件有關：CVE-2025-13454 係裝置資料洩漏畀本地用家，CVE-2025-13455 係已經登入嘅用家可以加入一個物主冇批准過嘅指紋。
- TSD303 嘅情況唔同：據報道佢本身有加密，問題出喺密碼檢查方法——電腦端軟件會由手指度攞返正確密碼嘅可讀版本，再同你輸入嘅密碼比較。2025 年尾第一次修復用咗一種加密包住，但金鑰據報可以推導出嚟；2025 年 12 月第二次修復先至將檢查搬返去手指本身處理。
仲有一點要講清楚，免得過分恐慌：據報道，Lenovo 同研究人員都冇報告話有真實用家因為呢個問題而受攻擊。呢個係一個已經證實嘅設計問題，唔係一單已經發生嘅大規模入侵事件。但對於擺咗敏感資料入手指嘅人嚟講，「未有人受攻擊」唔等於「可以繼續當佢係加密」——隻手指一旦唔見咗，風險就已經存在。
呢篇同本站舊文點分工，亦要講明：本站第 76 篇講 USB 手指認唔到點排查，第 97 篇講時認時唔認，第 122 篇講複製到一半斷線，第 142 篇講彈出「需要格式化」點算。嗰啲全部係「認唔認到、用唔用得」嘅問題。今篇講嘅係另一回事：隻手指用得好正常，但盒上面寫嘅加密承諾本身唔成立。認得到，唔等於安全。
二、第一步：對型號，唔好憑外形估
好多 USB 手指外形差唔多，淨係睇個殼好容易認錯。對型號要用型號名講嘢：
1. 睇下隻手指上面、包裝盒或者購買紀錄上面嘅型號，係咪 FU100、FU200、TU800 或者 TSD303。當中 FU100 係報道入面拆開驗證嘅型號，其餘三款係通告列出嘅範圍。
2. 如果型號對唔上通告名單，唔好自己斷定「一定冇事」或者「一定有事」。報道亦提到，同一項研究入面，其他品牌嘅加密工具都喺短時間內被破解，呢個提醒我哋：任何牌子嘅「硬件加密」承諾，都值得用下一節嘅方法再驗證一次，而唔係單憑包裝字眼就信晒。
3. 如果你唔肯定型號，影低手指正反面同埋包裝上面嘅標籤，送修或者查詢嗰陣一次過畀對方睇，唔好淨係講「黑色嗰隻有指紋掣」——咁樣對方根本對唔到。
三、第二步：官方處理方法點解唔係下載更新
一般用家聽到保安問題，第一反應係「有冇更新下載？」今次嘅答案據報道係：冇。Lenovo 嘅處理方法係叫物主聯絡佢哋喺中國嘅服務熱線，憑序號檢查之後，決定係換貨定係現場升級。原因好直接：如果問題出喺硬件結構本身，單靠軟件更新係修唔返嘅。
去查詢或者送修之前，有兩樣一定要先做：
- 先備份，再抹走。 Lenovo 自己都建議，送修之前先備份再抹除手指入面嘅資料。呢個次序唔可以倒轉：先抄返重要檔案去一個你信得過嘅地方，確認抄得到、開得到，先至抹走手指入面嘅原本。千祈唔好抹完先發現備份抄漏咗。
- 唔好再用佢嚟擺敏感資料。 喺未處理好之前，呢隻手指應該當成「冇加密嘅普通手指」嚟用。公司文件、身份證掃描、客戶資料呢類嘢，唔好再擺入去。如果已經擺咗，要諗返轉頭：呢隻手指有冇借過畀人、有冇唔見過一段時間？有嘅話，相關資料就要當成有機會外洩咁處理，例如改密碼、通知相關同事，唔好只係換隻新手指就算。
中小企要特別留意：公司派發嘅加密手指，好多時唔只一個人用，離職同事手上嗰隻如果冇收返，本身就係一個缺口。今次順手做一次盤點：邊個攞過邊隻、邊隻已經交返、邊隻仲未搵返，全部列返出嚟。
四、第三步：點樣先至算真正加密
呢單新聞最值得香港用家學到嘅一課，唔係「Lenovo 唔信得」，而係「盒上面寫加密，唔等於資料真係加密咗」。要真正保護手指入面嘅資料，應該用一個獨立於手指硬件嘅加密層：
- 用作業系統本身提供嘅磁碟加密功能（例如 Windows 嘅 BitLocker、Mac 嘅 FileVault 概念，或者其他成熟嘅加密工具），將檔案加密之後先至擺入手指。咁樣就算手指本身冇加密，檔案本身都仲有一層保護。
- 加密密碼要獨立、夠長，唔好同指紋或者開機密碼共用。指紋係方便，但唔可以當成唯一嘅鎖——今次事件正正就係證明，指紋掣可以只係一個開關，而唔係加密。
- 重要資料永遠要有第二份備份，唔好只靠一隻手指。手指細、易唔見、易壞，本身就唔適合做唯一備份。本站第 79 篇有香港用家嘅完整備份策略，可以跟住做。
- 送修或者棄置手指之前，一定要抹除。唔好以為「我刪咗檔案」就等於冇晒——一般刪除只係刪咗索引，資料本身仲喺度。棄置之前要用可靠嘅抹除方法，或者直接搵專業處理。
一句話記住：加密要睇「檔案本身有冇加密」，唔好只睇「隻手指有冇指紋掣」。
五、如果隻手指已經唔見咗，停手次序
如果你用緊通告範圍內嘅型號，而隻手指已經唔見咗，唔好只係買過隻新嘅就算：
- 即刻列出入面曾經擺過啲咩資料，邊啲係敏感嘅。
- 需要改嘅密碼即刻改，唔好等。
- 公司用家要通知負責 IT 同管理層，唔好自己一個人靜靜處理。
- 之後先至按上面嘅方法，轉用真正嘅檔案加密＋第二份備份。
呢個次序聽落好麻煩，但同「以為有加密，其實冇」嘅後果比起嚟，已經係最平嘅處理方法。
六、送修／求助之前，準備好呢張清單
如果你決定搵人幫手，帶齊以下資料會快好多：
- 手指品牌同型號、序號（如果搵得到嘅話）。
- 入面有冇敏感資料、大約有幾多、而家仲喺唔喺你手上。
- 有冇備份、備份喺邊、上次成功還原測試係幾時。
- 隻手指有冇借過畀人、有冇唔見過、而家仲用唔用得。
- 有冇喺出事之後寫入、刪除或者格式化過任何嘢——誠實講清楚，評估先至準。
收費方面要講明：本文唔提供任何價錢，實際收費需個別報價，視手指型號、容量同處理方法而定。
來源
- Tech Prolonged 報道：Lenovo's 'encrypted' ThinkPlus USB stick held an unencrypted SD card（2026 年 11 月）：https://techprolonged.com/2026/11/lenovos-encrypted-thinkplus-usb-stick-held-an-unencrypted-sd-card/
- 本站第 76 篇 usb-drive-not-recognised：USB 手指認唔到排查
- 本站第 142 篇 usb-drive-format-prompt-data-first：彈出格式化之前資料優先
- 本站第 79 篇 backup-strategy-hk：香港用家備份策略
相關文章
- usb-drive-not-recognised
- usb-drive-format-prompt-data-first
- usb-drive-sometimes-recognised-triage
- backup-strategy-hk