聯想指紋 USB 加密指控：敏感資料應先撤離
Tom’s Hardware 報道指，一款標示 AES-256 加密的聯想指紋 USB 儲存裝置，實際上只是把未加密 SD 卡裝進外殼。報道亦提到，後續以 AI 輔助的分析在其他標榜「安全」的 USB 產品中發現後門及硬編碼金鑰的線索。
最重要的限制是：現有資料屬報道所述的逆向分析結果，仍需原始分析材料、實物拆解及獨立重現，並釐清受影響的 Lenovo／Netac 具體型號、批次與銷售地區。現階段不應把指控延伸至所有 Lenovo 產品，亦不能據此斷定香港有售版本受影響。
「有指紋」不等於資料已加密
指紋辨識可以只是解鎖介面的一部分；真正的硬件加密，關鍵在於儲存媒體上的資料是否以密文保存、加密金鑰如何產生及保管，以及未經授權者能否繞過驗證直接讀取內容。若裝置內部確為普通、未加密的 SD 卡，指紋模組即使能限制日常使用，也無法提供「遺失後資料仍不可讀」的保護。
同樣地，硬編碼金鑰或後門一旦獲確認，代表安全性可能不再只取決於用戶設定的密碼或指紋。這是為何「AES-256」這類標示本身不足以作採購依據：演算法名稱無法說明金鑰管理、控制器實作，以及是否存在可繞過的存取路徑。
現有用戶應先處理資料與憑證
持有疑似涉事產品的用戶，尤其是曾存放身分證明副本、客戶檔案、合約、財務資料或工作文件者，在型號與風險範圍未獲釐清前，應避免再把敏感檔案寫入該裝置。較穩妥的處理次序是：先把資料遷移至已驗證的加密儲存方案，再確認備份可讀，之後才處理舊裝置。
若 USB 內曾保存帳戶復原碼、私密金鑰、密碼匯出檔或其他可用作登入的資料，單純搬走檔案未必足夠；應考慮重設相關密碼、撤銷及重新簽發金鑰或復原碼，並檢查帳戶登入紀錄。是否需要全面輪換，取決於裝置是否真的受影響及資料曾否被他人接觸，但把憑證視為可能已外洩會較審慎。
採購加密儲存裝置時，企業與個人亦應要求供應商交代可驗證的加密設計與型號識別資料，而非只看包裝上的加密字樣。接下來值得觀察的是，原始逆向結果能否被獨立重現，以及廠方會否公布受影響型號、批次與處理安排。
延伸閱讀
AI 輔助說明： 本文由 AI 協助整理，並經兩輪獨立自動品質審核；資料及連結仍以原始來源為準。
參考來源
本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。
