레노버(Lenovo)가 데이터 보안을 강조하며 판매해 온 지문 인식 USB '씽크플러스(ThinkPlus) FU100'이 실제로는 암호화 기능을 제대로 갖추지 못한 것으로 밝혀져 논란이 되고 있습니다. 보안 연구원 쉬성 리(Xusheng Li)는 이 제품을 분석한 결과, 내부의 SD 카드에 데이터가 암호화되지 않은 채 저장되며, 지문 인식 기능은 단순히 USB 연결을 활성화하는 역할만 한다고 지적했습니다. 이는 제품의 'AES-256 암호화' 광고와는 상반되는 사실로, 물리적으로 기기에 접근하면 누구나 데이터를 쉽게 읽을 수 있다는 의미입니다.
리 연구원은 지난 3월 콘퍼런스 발표에서 FU100을 “그럴듯한 케이스에 담긴 SD 카드일 뿐”이라고 표현하며, '하드웨어 보안'이라는 마케팅 문구가 순전히 허위일 수 있다고 경고했습니다. 레노버는 이 문제가 불거지자 FU100, FU200, TU800, TSD303 등 관련 제품에 대해 교체 또는 현장 펌웨어 업데이트를 제공하고 있지만, 사용자가 직접 서비스 접수 후 기기를 반송해야 하는 번거로움이 있습니다. 특히, TSD303 외장 SSD의 경우 데이터는 암호화했지만, 올바른 비밀번호를 USB로 평문 전송하는 취약점이 있어 중간에 가로채기 쉬웠던 것으로 드러났습니다. 이 외에도 여러 제조사의 보안 저장장치와 복사 방지 제품에서 하드코딩된 키, 비밀번호 노출, 숨겨진 계정 등 다양한 보안 결함이 발견되었으며, 일부 분석에는 오픈AI 코덱스(OpenAI Codex) 같은 AI 보조 도구가 활용되기도 했습니다.
이번 사례는 '하드웨어 보안'이라는 문구를 맹신하기보다, 실제 보안 구현 방식을 면밀히 검토해야 한다는 중요한 교훈을 줍니다. 특히, 클라이언트 측 검증(client-side verification)만으로는 데이터 보안을 보장할 수 없다는 점을 명확히 보여줍니다. 소비자는 제품 구매 시 제조사의 보안 주장을 그대로 받아들이기보다, 독립적인 보안 검증 결과나 오픈소스 기반의 투명한 암호화 솔루션을 고려하는 것이 현명합니다. 기업 입장에서는 단순히 마케팅 문구로 보안을 내세울 것이 아니라, 설계 단계부터 철저한 보안 검토와 검증을 통해 사용자 신뢰를 확보해야 할 것입니다. 이러한 취약점은 개인 정보 유출은 물론, 기업의 기밀 데이터 유출로 이어질 수 있어 심각한 파급 효과를 초래할 수 있습니다.