「暗号化 USB」は宣伝を信用しない：固定鍵・未暗号化・PC 側でのパスワード照合

暗号化をうたう USB メモリー／SSD で、データが実は暗号化されていない、全製品共通の固定鍵で暗号化している、機器が正しいパスワードを PC に送って PC 側で照合している、といった欠陥が講演と追加調査で報告された。

型	例	何がまずいか
未暗号化	Lenovo ThinkPlus FU100	分解すればそのまま読める
固定鍵	Netac の暗号化ソフト NetacLockFile（さらに高速モードでは 1,024 バイト超の PDF・画像などが一部しか暗号化されない）	鍵を 1 回抜けば全製品の中身が読める
PC 側照合	Lenovo ThinkPlus TSD303（初期版）	正しいパスワードが PC に流れる。最初の修正は SM4 で暗号化しただけで、鍵は PC 側ソフトから求められた
組み込みアカウント	SecZure 御天盾	固定パスワードで復号できた

研究者は機器の分解とタイムトラベルデバッグ（TTD）で解析。追加調査では Codex に Binary Ninja を MCP 経由で操作させ、NetacLockFile の固定鍵を 1 回の指示・7 分以内で特定した。解析コストは AI で大きく下がっている。

製品付属の「暗号化ソフト」や独自方式に機密データの保護を任せない。持ち出しデータは OS 標準のディスク暗号化（BitLocker To Go、FileVault の暗号化ボリュームなど）や検証済みの暗号化ツールで別途暗号化する。
ハードウェア暗号化製品を選ぶなら、パスワード照合が機器側で行われ、第三者認証（FIPS 140-3 など）を受けたものにする。
Lenovo の FU100 / FU200 / TU800 / TSD303 を使っている場合は勧告 LEN-210545 を確認し、交換またはファームウェア更新を受ける。
対象製品で既に機密を持ち出していたら、紛失分は「平文で失った」とみなして影響を評価する。