La clé USB à empreinte de Lenovo gardait les fichiers en clair sur une carte SD

La clé USB ThinkPlus FU100 de Lenovo promettait un lecteur d’empreinte digitale et un chiffrement matériel AES-256, un standard qui rend les données illisibles sans la bonne clé. En l’ouvrant, le chercheur Xusheng Li y a trouvé une carte SD ordinaire, aux données non chiffrées. Le capteur d’empreinte se contentait d’activer la connexion USB : en ouvrant le boîtier pour lire directement la carte, on accédait aux fichiers. Détaillée par HackingPassion le 29 octobre 2026, puis par Gigazine le 2 novembre 2026, l’affaire concerne tous ceux qui confient des documents sensibles à ce type de support.

Membre de la société de sécurité Vector 35, Xusheng Li développe un outil de rétro-ingénierie, c’est-à-dire d’analyse d’un programme pour comprendre son fonctionnement interne. Il a signalé le problème à Lenovo le 2 août 2025. En mars 2026, il en a fait le premier cas d’étude d’une conférence donnée à RE//verse, un rendez-vous de spécialistes du domaine. Le support de sa présentation est en ligne.

Les réponses de Lenovo

Lenovo a d’abord répondu par une parade matérielle : une couche de résine époxy coulée sur la carte SD, avant un correctif complet. Le chercheur a aussi examiné le disque externe ThinkPlus TSD303. Celui-ci chiffrait bien ses données, mais transmettait le bon mot de passe à l’ordinateur par le câble USB au moment de l’authentification. Avec le second correctif du TSD303, livré en décembre 2025, le disque vérifie lui-même le mot de passe.

Le 13 janvier 2026, Lenovo a publié l’avis de sécurité LEN-210545. Il regroupe trois failles inscrites au catalogue public des vulnérabilités, les CVE, et vise les modèles ThinkPlus FU100, FU200, TU800 et TSD303. La première, CVE-2025-13453, permet à une personne qui a le support en main de lire les données stockées. Rien n’est proposé en libre-service : pour une mise à niveau gratuite, les propriétaires doivent appeler le service client de Lenovo en Chine. Le constructeur vérifie le numéro de série, puis remplace l’appareil ou met à jour sur place son micrologiciel, le logiciel interne du support.

Windows Forum met en garde contre un amalgame : les trois CVE décrivent des faiblesses différentes, et toutes ne relèvent pas du problème de la carte SD. L’une d’elles, CVE-2025-13455, vise le logiciel de configuration ThinkPlus : un utilisateur connecté pouvait contourner l’authentification de l’appareil et y enregistrer une empreinte non approuvée. Ni Lenovo ni le chercheur ne font état d’attaques contre des propriétaires, souligne HackingPassion. Nous n’avons trouvé aucune déclaration publique de Lenovo au-delà de son avis.

D’autres protections cèdent face à l’IA

Le 22 octobre 2026, Xusheng Li a publié un prolongement de ses travaux sur le blog de Binary Ninja. Il y associe Codex, l’assistant de programmation par IA d’OpenAI, à un outil qui dissèque la structure interne des logiciels. Premier essai : le logiciel de chiffrement de fichiers du fabricant Netac, qu’il avait déjà décortiqué avec un débogueur, un outil qui suit l’exécution d’un programme pas à pas. En environ 7 minutes, l’IA a retrouvé la clé de chiffrement fixe inscrite dans le programme.

D’autres protections ont suivi. Selon le chercheur, il a fallu environ 26 minutes pour venir à bout de « USB Copy Protection », de KakaSoft, et environ 10 pour « Copy Secure », de Nexcopy. Sur la clé YutianDun, vendue par SecZure, il a découvert des mots de passe fixes qui déchiffrent les fichiers sans celui de l’utilisateur. Il parle de porte dérobée, c’est-à-dire d’un accès caché, au sens technique et sans y voir d’intention malveillante. Il a publié sans passer par la divulgation coordonnée habituelle, qui laisse au fabricant le temps de corriger, afin que les acheteurs potentiels connaissent ces limites.

D’un côté, j’ai été surpris, et même un peu inquiet, que l’IA puisse le faire aussi vite.

Chiffrer soi-même, avec un outil libre

La leçon dépasse Lenovo. Un lecteur d’empreinte ou un code sur un support USB ne protège rien si la clé de chiffrement n’en dépend pas. HackingPassion conseille de chiffrer soi-même ses fichiers sensibles avant de les copier, avec un logiciel qui tire la clé du mot de passe : VeraCrypt, BitLocker To Go (intégré à Windows Pro) ou gpg. VeraCrypt est un logiciel libre de chiffrement de disque pour Windows, macOS et Linux, publié sous licence Apache 2.0 et TrueCrypt License 3.0.

Pour une TPE, une association ou un particulier, le geste est simple. Si vous possédez un modèle visé par l’avis de Lenovo (ThinkPlus FU100, FU200, TU800 ou TSD303), contactez le constructeur. Tant qu’il n’est ni remplacé ni mis à jour, considérez que son contenu peut être lu par quiconque met la main dessus. Rapatriez les fichiers, effacez le support, puis recopiez-les dans un conteneur VeraCrypt, un fichier chiffré qui s’ouvre comme un disque. La méthode fonctionne sur n’importe quelle clé, même bon marché. Conservez la phrase de passe à part, et vérifiez que le conteneur s’ouvre sur un autre ordinateur avant d’effacer les originaux.