mSecure upozorio korisnike na promenu lozinki, 2FA i passkeya
Upozorenje korisnicima mSecure-a
mSecure je 3. novembra poslao sadašnjim i bivšim korisnicima upozorenje zbog sumnjive aktivnosti povezane sa aplikacijom i preporučio promenu lozinki, resetovanje dvofaktorske autentifikacije i uklanjanje passkeya. Poruku je u ime razvijača mSeven Software objavio korisnik na forumu podrške, dok kompanija nije navela da li su podaci iz trezora bili izloženi.
U poruci se navodi da je mSeven Software pokrenuo istragu, preduzeo korake da ograniči problem i angažovao spoljne stručnjake za sajber-bezbednost. Ipak, nisu imenovani pogođeni sistemi, vreme kada je sumnjiva aktivnost nastala, njen završetak niti broj primalaca obaveštenja.
Do 18 časova po UTC vremenu 3. novembra nije bilo objave o upozorenju na mSecure nalozima na mrežama X i Facebook, niti odgovora zaposlenih u temi na forumu podrške. Takva ograničena javna objašnjenja ostavljaju korisnicima važna operativna pitanja o obimu incidenta i redosledu zaštitnih koraka.
Šta je posebno važno za trezor pristupa
mSecure omogućava sinhronizaciju trezora preko usluge mSecure Cloud, Dropbox-a, iCloud-a ili Wi-Fi veze. Obaveštenje ne precizira da li način sinhronizacije utiče na procenu rizika. Takođe ne razdvaja da li se savet o 2FA i passkeyima odnosi na stavke sačuvane u trezoru, prijavu na sam mSecure nalog ili na oba slučaja.
U aplikaciji mSecure 7, na paketu Essentials i višim, pored lozinki mogu da se čuvaju i passkeyi i kodovi za dvofaktorsku autentifikaciju. Kada se više mehanizama za pristup nalazi na istom mestu, preporuka za promenu ili uklanjanje tih podataka zahteva pažljivo planiranje kako se ne bi izgubio pristup kritičnim poslovnim nalozima.
mSecure navodi da se podaci trezora šifruju na korisnikovom uređaju pre sinhronizacije i da ni njegovi razvijači ne mogu da pristupe informacijama korisnika. Međutim, nemačko Savezno kancelarijsko telo za bezbednost informacija, BSI, u studiji objavljenoj u decembru 2025. zaključilo je da je mSeven Software teoretski mogao da pristupi sačuvanim podacima u verziji mSecure 6.1.5 za Android. BSI je testirao samo tu verziju, pa se nalaz ne može automatski primeniti na kasnija izdanja.
Praktičan redosled za organizacije
Poruka korisnicima ne određuje koje naloge prvo menjati, kako sprovesti pojedinačne korake niti da li mSecure treba nastaviti koristiti za čuvanje novih lozinki. Najnovija verzija za iPhone u Apple App Store-u bila je 7.1.0, objavljena 23. oktobra, ali obaveštenje ne povezuje sumnjivu aktivnost sa konkretnom verzijom.
Za organizacije je razumno prvo napraviti spisak poslovnih naloga čije su lozinke, 2FA kodovi ili passkeyi bili sačuvani u mSecure-u, zatim prioritizovati administrativne, finansijske i naloge za oporavak. Promene pristupa treba evidentirati, a nove metode prijave proveriti na kontrolisan način. Dok istraga ne donese jasniji obim incidenta, dosledna evidencija i pažljiva zamena poverljivih podataka predstavljaju najpraktičniji poslovni odgovor.