Lenovo ThinkPlus: perché l’impronta digitale non garantisce file cifrati

Una chiavetta USB che si apre con l’impronta digitale non è necessariamente una chiavetta con file cifrati. Nel caso delle Lenovo ThinkPlus FU100, FU200, TU800 e TSD303 di prima generazione (Gen 1), tre vulnerabilità registrate da Lenovo mostrano rischi distinti: possibile lettura dei dati con accesso fisico, esposizione di informazioni tramite software locale e aggiramento dell’autenticazione per aggiungere un’impronta non autorizzata. Per documenti sensibili, non considerare la sola impronta una garanzia di riservatezza.

Non si tratta di una scoperta avvenuta il 1° novembre 2026: le segnalazioni ufficiali sono state pubblicate il 14 gennaio 2026 e sono tornate al centro di approfondimenti tecnici a fine ottobre. Non abbiamo effettuato prove sui dispositivi: le indicazioni seguono i record CVE attribuiti a Lenovo e la documentazione ufficiale sulla cifratura delle unità rimovibili.

Quali chiavette Lenovo ThinkPlus sono coinvolte?

I record di sicurezza indicano precisamente quattro modelli della generazione 1. La denominazione commerciale va controllata insieme alla generazione e, quando disponibile, al codice modello sull’etichetta, sulla confezione o nei documenti d’acquisto.

Non è corretto estendere automaticamente l’allerta a ogni chiavetta Lenovo, alle generazioni successive o a qualsiasi memoria USB con sensore biometrico. Per questi prodotti, la fonte primaria è il record CVE-2025-13453 attribuito a Lenovo, che elenca tutti e quattro i modelli Gen 1 e descrive un rischio per la riservatezza dei dati con accesso fisico.

Impronta digitale e cifratura: due protezioni diverse

Un lettore di impronte può funzionare come controllo di accesso: decide se mostrare o sbloccare normalmente il contenuto del dispositivo. La cifratura dei dati a riposo trasforma invece i file in informazioni non leggibili senza la chiave appropriata. Se manca una cifratura effettiva, un controllo biometrico può essere aggirabile senza necessariamente conoscere l’impronta originale.

Questa distinzione è decisiva soprattutto quando l’unità viene smarrita o sottratta. Una schermata che richiede il dito, la presenza di un sensore o la scritta «encrypted» sulla confezione non dimostrano da sole che il contenuto sia protetto crittograficamente. Servono specifiche verificabili, il modello esatto e una protezione adeguata ai dati conservati.

Cosa dicono esattamente le vulnerabilità CVE?

Le tre segnalazioni hanno condizioni d’attacco differenti. Non bisogna fonderle nella formula generica «chiunque può entrare da remoto».

Il record CVE-2025-13455 pubblicato da Lenovo precisa che l’aggiramento riguarda il software di configurazione e non un accesso indiscriminato da Internet. Le CVE sono state pubblicate nel gennaio 2026; non sono automaticamente tre attacchi sfruttati in massa. Il grado di rischio cambia in base a chi può prendere la chiavetta o utilizzare il computer a cui è collegata.

Hai una ThinkPlus Gen 1? Cosa fare senza rischiare i file

1. Identifica prima il modello. Controlla la sigla FU100, FU200, TU800 o TSD303 e la generazione. Un nome simile non è sufficiente per dedurre che l’unità sia vulnerabile.
2. Se contiene documenti sensibili, non affidarti soltanto all’impronta. Evita di usare la chiavetta come unica copia di password, scansioni di documenti, file di clienti o archivi personali importanti.
3. Prepara un backup in una destinazione affidabile. Prima di cancellare, formattare o sostituire il supporto, verifica che il backup sia leggibile e completo. Un reset prematuro può rendere irrecuperabili i file senza migliorare la protezione del dispositivo.
4. Usa una cifratura indipendente verificata. Su Windows, BitLocker To Go può proteggere unità rimovibili quando disponibile e compatibile; salva la chiave di ripristino in un luogo separato e controlla che la cifratura sia effettivamente attiva. Non confondere una cartella nascosta o una password d’accesso con una cifratura del volume.
5. Richiedi a Lenovo indicazioni per quel codice prodotto. Le registrazioni CVE rimandano a un advisory del produttore, ma non permettono qui di verificare con certezza una patch firmware specifica applicabile a ogni modello. Non installare firmware o programmi di sblocco trovati su siti non ufficiali.
6. Se temi una precedente esposizione, valuta i dati coinvolti. Per credenziali o segreti effettivamente compromessi può essere necessario cambiarli; il semplice possesso di una chiavetta vulnerabile non dimostra che qualcuno abbia già letto i file.

La guida Tech su BitLocker e la chiave di ripristino chiarisce perché è essenziale conservare correttamente le credenziali di recupero. Se stai scegliendo un altro supporto, ricorda anche che robustezza fisica, velocità e cifratura sono caratteristiche diverse: la nostra analisi del Samsung T7 Shield riguarda un SSD esterno, non dimostra automaticamente che ogni sua configurazione sia cifrata.

Come verificare se i file sono davvero cifrati?

Per una unità rimovibile su Windows, verifica nelle impostazioni di BitLocker la presenza di una protezione attiva sul volume e il metodo di recupero configurato. La disponibilità della funzione dipende dall’edizione di Windows e dalla configurazione del PC; non promette che il software proprietario della chiavetta possa essere riparato. Per supporti usati anche su macOS o Linux, considera un sistema di cifratura progettato e supportato per tutte le piattaforme necessarie e verifica prima la compatibilità.

Il controllo più utile non consiste nel provare tecniche di estrazione o smontare il dispositivo, ma nel separare il livello di autenticazione dall’effettiva cifratura dei dati. Se il produttore non documenta in modo attendibile come vengono cifrati i file sul modello esatto, tratta la protezione come non dimostrata e usa una soluzione indipendente o un dispositivo affidabile.

Quanto è attuale l’allerta e cosa non sappiamo?

Le CVE Lenovo risalgono al 14 gennaio 2026; approfondimenti successivi hanno riportato l’attenzione sul tema. Non abbiamo riscontri sufficienti per confermare quante chiavette vulnerabili siano state vendute in Italia, quali unità siano ancora in uso o se esista per ciascuna una correzione firmware distribuibile. Anche la semplice presenza di una vulnerabilità registrata non prova uno sfruttamento reale ai danni di un utente.

In sintesi: se possiedi una Lenovo ThinkPlus Gen 1 indicata nei CVE, non usare l’impronta come unica protezione per dati confidenziali. Verifica il modello, conserva una copia sicura, controlla la cifratura e chiedi al produttore istruzioni aggiornate. Per chi acquista una nuova unità, la domanda giusta non è solo «ha il lettore biometrico?», ma «come sono cifrati i file anche se il dispositivo finisce nelle mani sbagliate?».