Lenovo تخادع عملاءها: محرك USB 'المشفر' مجرد بطاقة SD عادية
كشف باحث أمني أن محرك Lenovo ThinkPlus FU100 'المشفّر' هو بطاقة SD عادية، فيما كشفت متابعات مدعومة بالذكاء الاصطناعي عن أبواب خلفية ومفاتيح مبرمجة في منتجات أخرى.
مقدمة تحليلية
في الأول من نوفمبر 2026، كشفت تقارير صادمة عن أن محرك أقراص USB Lenovo ThinkPlus FU100، الذي يتم تسويقه على أنه جهاز مشفر بمعيار AES-256 لأمن البيانات، هو في الواقع مجرد بطاقة SD عادية ضمن غلاف فاخر. الباحث الأمني Xusheng Li، وفقاً لـ HackingPassion، أكد أن قارئ بصمة الإصبع في هذا الجهاز كان يقتصر دوره على تفعيل اتصال USB فقط، دون أي تشفير فعلي للبيانات المخزنة. هذا الاكتشاف الأولي، الذي حدث في العام الماضي، تبعه تحقيق مدعوم بالذكاء الاصطناعي الأسبوع الماضي كشف عن حسابات أبواب خلفية ومفاتيح مبرمجة في منتجات USB “آمنة” أخرى من عدة مصنعين. تصريح Li في مؤتمر مارس الماضي بأن "أمن الأجهزة يمكن أن يكون تسويقياً بحتاً" يلخص حقيقة هذا الكشف الصارخ عن تقصير شركات كبرى في وعودها الأمنية.
هذا ليس الحادث الأول من نوعه، لكنه يؤكد نمطاً مقلقاً من الإهمال الأمني في قطاع تخزين البيانات. تُظهر هذه الحوادث فشلاً متكرراً في تلبية توقعات الأمان الأساسية من قبل المصنعين، مما يترك المستخدمين عرضة للخطر.
التحليل التقني
الآلية الكامنة وراء خداع Lenovo بسيطة بقدر ما هي صادمة: محرك ThinkPlus FU100 كان يحتوي على بطاقة SD داخلية غير مشفرة. قارئ بصمة الإصبع المدمج كان لا يخدم سوى وظيفة واحدة، وهي تمكين الاتصال بمنفذ USB. البيانات، في جوهرها، كانت متاحة لأي شخص يمتلك وصولاً فعلياً للجهاز، مما يجعله "مجرد بطاقة SD في غلاف فاخر"، كما وصفها Li. أكدت الشركة "لينوفو" خطورة المشكلة بتصنيفها مرتفعة، وأصدرت ثلاث CVEs، إحداها تغطي برنامج الإعداد الذي كان يسمح لمستخدم محلي مسجل بتجاوز مصادقة الجهاز وتسجيل بصمة إصبع غير موثوق بها.
عيوب التشفير والمفاتيح المبرمجة
لم يقتصر الأمر على FU100. كشف البحث نفسه عن عيب مختلف في محرك الأقراص SSD الخارجي Lenovo TSD303. بينما كانت بياناته مشفرة بالفعل، فإن المحرك كان يرسل كلمة المرور الصحيحة عبر USB بنص عادي للمقارنة بواسطة البرنامج، مما يسهل اعتراضها. جاء التحديث الأول بعد ثلاثة أشهر من التقرير الأولي، باستخدام تشفير كتل بِمفتاح مشتق من قيمة تشبه الطابع الزمني.
هذا التحديث كان بدوره عرضة للاختراق في حال تحليل البرنامج، مما يجعله غير فعال لحماية البيانات عند سرقة الجهاز. الإصلاح اللاحق، الذي صدر في أواخر العام الماضي، جعل المحرك يتحقق من كلمة المرور المدخلة بنفسه، بحيث لا تغادر كلمة المرور الصحيحة الجهاز أبدًا. تم استخدام نفس حزمة تطوير البرامج (SDK) المستخدمة في محرك الأقراص هذا لتسعة أجهزة أخرى من عدة بائعين. هذه الأجهزة كانت تكشف كلمات المرور أيضاً، واثنان منها تركا البيانات غير مشفرة على بطاقة microSD.
دور الذكاء الاصطناعي في الكشف عن الثغرات
استخدم Xusheng Li أداة OpenAI’s Codex، وهي أداة برمجة تعتمد على الذكاء الاصطناعي، مع أداة الهندسة العكسية الخاصة بشركته لفحص مخططات الحماية لدى بائعين آخرين. تم اختراق أداة Netac في حوالي سبع دقائق، حيث وجد Codex مفتاحاً ثابتاً مدمجاً في البرنامج، بالإضافة إلى كلمة مرور المستخدم المكتوبة في سجلات التشخيص. حماية النسخ تختلف عن الوصول المباشر، حيث الهدف هو السماح للمستقبل بعرض الملفات، لا بنسخها. أداة KakaSoft’s USB Copy Protection تحتوي على كلمة مرور داخلية يقوم البرنامج بإنشائها بنفسه، وقام Codex بإعادة بناء هذه الكلمة لفك تشفير ملف تجريبي بدون كلمة مرور المستخدم في حوالي 26 دقيقة.
استغرقت أداة Nexcopy’s Copy Secure حوالي 10 دقائق، حيث تم فتح مفتاحها بواسطة شهادة مدمجة في تطبيق العارض. بشكل منفصل، كشفت أداة SecZure’s YutianDun عن حسابين "خلفيين" مخفيين بكلمات مرور بسيطة، تم اكتشافهما باستخدام تتبع زمني مصحح للأخطاء، على الرغم من أن Li أشار إلى أنه لا يمكن افتراض وجود نية خبيثة.
السياق وتأثير السوق
إن الكشف عن أن محركات أقراص USB تُباع على أنها مشفرة، ولكنها في الواقع مجرد بطاقات SD غير محمية، يقوض الثقة في وعود أمن الأجهزة بشكل جذري. هذا النمط من الإهمال التسويقي والتقني، والذي كشفه Xusheng Li، يثير تساؤلات جدية حول معايير الصناعة والتنظيم. تتناقض هذه الممارسات بشكل صارخ مع معايير الأمن المتوقعة حالياً، حيث يعتمد المستخدمون والشركات على التشفير القوي لحماية بياناتهم الحساسة. في السابق، كانت الأجهزة التي تدعي تشفير AES-256 تُعتبر حلولاً موثوقة لحماية البيانات، لكن هذه الفضيحة تكشف أن ادعاءات التسويق يمكن أن تكون مضللة تماماً.
يُبرز هذا الوضع الفارق الشاسع بين المنتجات التي تدعي الأمان وتلك التي تطبقه فعلياً. على سبيل المثال، يمثل محرك أقراص USB مفتوح المصدر الذي يقوم بالتشفير بشكل صحيح – حتى لو كان مبنياً على بطاقة microSD – معياراً أفضل بكثير. هذا النوع من الأجهزة يشتق مفتاح التشفير من كلمة مرور المستخدم، مما يعني أن قراءة البطاقة وحدها لا توفر للمهاجم أي شيء. هذا يتناقض بشكل حاد مع نهج Lenovo الأول، حيث كانت كلمة المرور تُرسل بنص عادي، أو مع أجهزة Netac و KakaSoft و Nexcopy التي تحتوي على مفاتيح مبرمجة أو قابلة للاستنتاج بسهولة. تحذير Li بأن "التحقق من صحة العميل ليس آمناً أبداً"، وأن "عليك دائماً التحقق من ادعاءات الأمان بنفسك"، يُعد بياناً صريحاً عن الواقع التقني الذي نواجهه. لم يكن لدى Netac أي تصحيح اعتباراً من حديث Li في مارس، مما يشير إلى تجاهل مستمر للأمن بعد الكشف عن الثغرات.
رؤية Glitch4Techs
إن ما كشفته التحقيقات حول محركات أقراص USB "المشفرة" من Lenovo وغيرها، ليس مجرد فشل تقني، بل هو خيانة صريحة للثقة وتجاهل فادح لأبسط مبادئ الأمن السيبراني. تسويق جهاز مثل ThinkPlus FU100 بمعيار AES-256، بينما هو حرفياً بطاقة SD غير مشفرة يتم تفعيلها ببصمة الإصبع فقط، يضع Lenovo في موضع شركة تبيع وهماً أمنياً. هذا سلوك غير مقبول. عندما يُكتشف أن مفاتيح التشفير مبرمجة أو يتم تمرير كلمات المرور بنص واضح، فإن هذا لا يعكس سوء تصميم فحسب، بل يمثل استهتاراً ببيانات المستخدمين.
الحكم قاطع: هذه المنتجات هي إخفاق أمني ذريع؛ فعدم تشفير البيانات في جهاز يُدعى أنه مشفر بمعيار AES-256 هو تضليل متعمد يترك المستخدمين عرضة للخطر دون أي مبرر تقني أو أخلاقي. الشركة لم تفِ بوعودها التسويقية الأساسية، مما يدعو إلى إعادة تقييم جدية لمصداقيتها الأمنية.
كن أول من يعرف بمستقبل التقنية
أهم الأخبار والتحليلات التقنية مباشرة في بريدك.
