레노버 지문 USB, 알고보니 암호화 안 된 SD카드

테크 · 2026-11-01 · Tom's Hardware

레노버가 AES-256 암호화를 내세운 씽크플러스 FU100 지문인식 USB 저장장치가 실제로는 암호화가 적용되지 않은 SD카드에 불과한 것으로 드러났다. 지문 인식기는 USB 연결을 여는 역할만 했고, 저장된 데이터는 그대로 노출됐다. 같은 계열 다른 제품에서도 비밀번호가 평문으로 오가는 결함이 확인됐다.

레노버가 AES-256 암호화로 데이터를 보호한다고 내세운 씽크플러스(ThinkPlus) FU100 지문인식 USB 저장장치가 실제로는 암호화가 전혀 적용되지 않은 SD카드에 불과하다는 분석이 나왔다. 보안 연구원 쉬성 리는 지문 인식기가 USB 연결을 열어주는 역할만 할 뿐 저장된 데이터는 암호화되지 않은 채 남아 있었다고 지적했다. 물리적으로 기기에 접근할 수 있는 사람이라면 누구나 손쉽게 내용을 꺼낼 수 있는 구조다.

문제는 FU100에 그치지 않는다. 레노버는 올해 초 FU100과 FU200, TU800, 외장 SSD TSD303 이용자를 대상으로 수정 조치를 내놨는데, 이용자는 중국 서비스 라인에 전화해 제품을 보내 교체받거나 현장에서 펌웨어 업그레이드를 받아야 한다. 레노버는 이 권고의 심각도를 '높음'으로 분류했다. 세 건의 CVE 가운데 하나는 설정 소프트웨어 취약점으로, 로그인한 로컬 사용자가 기기 인증을 우회해 신뢰할 수 없는 지문을 등록할 수 있는 결함이다.

TSD303에서는 별개의 결함도 확인됐다. 데이터 자체는 암호화됐지만, 드라이브가 올바른 비밀번호를 USB를 통해 평문으로 소프트웨어에 넘겨 비교하도록 설계돼 있어 손쉽게 가로챌 수 있었다. 이후 수정판에서는 입력한 비밀번호를 드라이브 내부에서 직접 검증하도록 바꿨다.

리는 같은 소프트웨어 개발 키트(SDK)를 사용한 여러 업체의 저장장치에서도 유사한 문제가 발견됐다고 밝혔다. 그는 “하드웨어 보안은 순전히 마케팅일 수 있다”며 “클라이언트 측 검증은 결코 안전하지 않다”고 경고했다. 제품에 표기된 보안 사양을 그대로 믿기보다 직접 검증해야 한다는 지적이다.