mSeven Software, der Entwickler des Passwort-Managers mSecure, hat aktuelle und ehemalige Kunden vor verdächtigen Aktivitäten im Zusammenhang mit der App gewarnt. Eine am 3. November versandte E-Mail empfiehlt Maßnahmen wie das Ändern von Passwörtern, das Zurücksetzen der Zwei-Faktor-Authentifizierung (2FA) und das Entfernen von Passkeys, erklärt aber nicht, was passiert ist oder ob auf gespeicherte Informationen zugegriffen wurde.

Ein Kunde veröffentlichte den Text der E-Mail noch am selben Tag in einem Thread im mSecure-Supportforum. Darin heißt es, mSeven habe Ermittlungen aufgenommen, Maßnahmen zur Eindämmung des Problems ergriffen und externe Cybersicherheitsexperten hinzugezogen. Die Nachricht nennt weder die betroffenen Systeme noch den Zeitpunkt der Aktivitäten oder ob diese beendet wurden, und sie gibt auch nicht an, wie viele Personen die Warnung erhalten haben.

Aus der E-Mail geht außerdem nicht hervor, welche Konten Kunden vorrangig berücksichtigen sollten und wie sie die empfohlenen Schritte durchführen können. Sie präzisiert nicht, ob sich der Rat zu 2FA und Passkeys auf Zugangsdaten in einem Tresor, die Anmeldung bei einem mSecure-Konto oder beides bezieht. Ebenso wenig sagt sie, ob Kunden mSecure weiterhin verwenden sollten, auch für neu geänderte Passwörter.

Kunden können einen mSecure-Tresor über mSecure Cloud, Dropbox, iCloud oder WLAN synchronisieren, doch die E-Mail gibt keinen Hinweis darauf, ob die gewählte Synchronisierungsmethode eine Rolle spielt. mSecure 7 kann im Essentials-Tarif und höheren Tarifen außerdem Passkeys und 2FA-Codes neben Passwörtern speichern.

mSecure zufolge werden Tresordaten auf dem Gerät eines Kunden verschlüsselt, bevor sie synchronisiert werden, und die Entwickler können nicht auf Kundeninformationen zugreifen. In der Warnung steht nicht, ob die verdächtigen Aktivitäten Tresordaten oder die zu ihrem Schutz verwendeten Schlüssel erreichten.

Bis zum 3. November um 18:00 UTC hatte mSeven auf den X- oder Facebook-Konten von mSecure nichts zu der E-Mail veröffentlicht, und kein Mitarbeiter hatte im Forenthread geantwortet. Die zu diesem Zeitpunkt neueste iPhone-Version im App Store von Apple war mSecure 7.1.0, veröffentlicht am 23. Oktober.

Quellen: The Hacker News.