보안 연구원 Xusheng Li가 AES-256 암호화로 팔린 Lenovo ThinkPlus FU100 내부가 사실은 암호화되지 않은 SD 카드임을 확인했고, 여러 제조사 보안 저장장치에서 하드코딩된 키·평문 비밀번호 전송·숨겨진 백도어 계정을 찾아냄. 이 과정에 OpenAI Codex를 역공학 도구와 함께 써서 Netac은 약 7분, KakaSoft 복사 방지는 약 26분, Nexcopy는 약 10분 만에 보호를 무력화함. Lenovo는 FU100·FU200·TU800·TSD303에 교체 또는 펌웨어 업데이트를 제공하지만 서비스 접수와 데이터 백업·삭제가 필요함.
하드웨어 '암호화' 저장장치는 보안을 전면에 내세워 팔리지만, 실제 구현은 종종 마케팅에 그친다는 점이 드러났다. FU100은 지문 인식이 USB 연결 활성화만 제어하고 데이터는 내부 SD 카드에 암호화 없이 저장돼, 기기를 열면 그대로 읽혔다. TSD303 SSD는 데이터를 암호화했지만 올바른 비밀번호를 USB로 평문 전송하는 별도 결함이 있었다.
주목할 점은 분석 방식이다. Li는 OpenAI Codex를 소속 회사의 역공학 도구와 함께 써서 여러 제조사가 공유하는 SDK 제품들을 분석했다. Codex는 프로그램에 박힌 고정 키와 진단 로그에 남은 사용자 비밀번호를 찾아냈고, Netac은 약 7분, KakaSoft 복사 방지는 약 26분, Nexcopy Copy Secure는 약 10분 만에 뚫렸다. SecZure 제품에서는 단순 비밀번호를 가진 숨은 백도어 계정 2개가 타임 트래블 디버깅으로 확인됐다.
Li는 '클라이언트 측 검증은 결코 안전하지 않다'며 보안 주장을 직접 검증하라고 권고한다. 코드에 키를 박아두거나 검증을 클라이언트에 맡기는 설계가 이제 AI 역공학으로 분 단위에 깨진다는 뜻이다. Lenovo는 FU100·FU200·TU800·TSD303에 교체나 현장 펌웨어 업데이트를 제공하되 서비스 접수가 필요하며, 반송 전 데이터 백업과 삭제를 권고한다.