mSecure призвал клиентов сменить пароли и сбросить 2FA после подозрительной активности
Разработчик менеджера паролей mSecure, компания mSeven Software, 3 ноября разослал нынешним и бывшим клиентам предупреждение о подозрительной активности, связанной с приложением. Пользователям предложено сменить пароли, сбросить двухфакторную аутентификацию и удалить ключи доступа (passkeys), которые могли храниться в сервисе.
Компания не сообщила, что именно произошло, были ли раскрыты данные из пользовательских хранилищ и затронуты ли криптографические ключи, защищающие эти данные. В уведомлении также нет сведений о времени активности, вовлечённых системах и количестве адресатов.
Что известно из уведомления
mSeven Software заявила, что начала расследование, приняла меры для ограничения проблемы и привлекла внешних специалистов по кибербезопасности. При этом рекомендации сформулированы как возможные действия: в письме не указан порядок смены учётных данных, не объяснено, как выполнить каждый из шагов, и не сказано, следует ли продолжать использовать mSecure для хранения новых паролей.
По состоянию на 18:00 UTC 3 ноября публикаций с разъяснениями не было на страницах mSecure в X и Facebook. Текст письма появился в ветке поддержки mSecure, однако ответа сотрудника компании в ней к этому моменту не было.
Какие данные могут находиться в хранилище
mSecure поддерживает синхронизацию хранилища через mSecure Cloud, Dropbox, iCloud или Wi‑Fi. Письмо не уточняет, зависит ли характер риска от выбранного способа синхронизации.
В mSecure 7 на тарифе Essentials и выше рядом с паролями можно хранить коды 2FA и passkeys. При этом уведомление не поясняет, относятся ли советы по сбросу 2FA и удалению passkeys к этим объектам в хранилище, к входу в учётную запись mSecure или к обоим случаям.
mSecure утверждает, что данные шифруются на устройстве пользователя до синхронизации, а разработчики не могут получить доступ к содержимому хранилищ. Однако Федеральное ведомство по информационной безопасности Германии (BSI) в исследовании, опубликованном в декабре 2025 года, указало, что в Android-версии mSecure 6.1.5 разработчик теоретически мог получить доступ к сохранённым данным. BSI тестировало только эту версию, поэтому выводы могут не относиться к последующим обновлениям.
Что учитывать организациям
Владельцам корпоративных учётных записей стоит инвентаризировать пароли, коды второго фактора и ключи доступа, сохранённые в mSecure, и в первую очередь обновить секреты для критичных сервисов. Поскольку компания не раскрыла масштаб и техническую природу активности, полезно отдельно проверить защищаемые этими данными внешние системы и контролировать уведомления mSecure о ходе расследования.