Vous payez pour du « chiffrement matériel AES-256 » et vous recevez une carte mémoire standard dans un joli boîtier. C'est en résumé ce que le chercheur Xusheng Li a découvert en démontant la ThinkPlus FU100 de Lenovo, une clé USB à capteur d'empreinte digitale vendue comme une solution sécurisée pour protéger ses fichiers sensibles.

En ouvrant le boîtier, Li n'a trouvé aucune puce de chiffrement. Juste une carte SD ordinaire, posée là, avec les données parfaitement lisibles par n'importe qui. Le lecteur d'empreinte ne déverrouillait rien du tout. Il se contentait d'activer ou de couper la liaison USB. Autrement dit, il suffisait d'extraire la carte et de la glisser dans un adaptateur à quelques euros pour lire l'intégralité des fichiers, mot de passe ou pas.

La réponse initiale de Lenovo vaut le détour. Plutôt que de corriger le firmware, le fabricant a d'abord noyé la carte SD sous de la résine époxy, histoire de compliquer son extraction physique. Un vrai correctif logiciel est arrivé ensuite, fin 2025, pour que la clé vérifie enfin le mot de passe elle-même. Le bulletin de sécurité officiel, publié en janvier 2026 et classé en gravité élevée, couvre au final quatre modèles : les FU100, FU200, TU800 et TSD303.

Contenu externe hébergé par m.media-amazon.com.

Ouvrir sur le site source

Pour du vrai chiffrement matériel qui tient ses promesses, une clé certifiée reste le choix sûr :

Kingston IronKey Vault Privacy 50 (32 Go, AES-256) → voir sur Amazon

Lien affilié Amazon

Là où ça devient plus gênant, c'est la suite. Li a poursuivi son analyse avec l'aide d'un outil d'IA, le Codex d'OpenAI, pour éplucher le code d'autres produits du même genre. Même kit de développement logiciel partagé sur près de neuf appareils de plusieurs marques, avec à la clé des comptes d'accès cachés et des mots de passe inscrits en dur dans le code. De quoi penser que le problème dépasse largement Lenovo.

Le chercheur a d'ailleurs choisi de ne pas prévenir les autres fabricants concernés avant publication, estimant qu'une clé déjà entre les mains d'un voleur ne peut de toute façon ni être rappelée ni mise à jour à distance.

Côté disponibilité, ces clés à empreinte se trouvent surtout sur les marketplaces d'import comme AliExpress, pour quelques dizaines d'euros, et pas dans le circuit officiel français de Lenovo. Si vous en possédez une, le réflexe est simple : installez la mise à jour du firmware, et ne prenez jamais ces petits objets pour un vrai coffre-fort. Le vrai chiffrement, lui, ne tient pas dans un capteur qui se contente d'allumer une diode.

Crédit photo : Lenovo