mSeven Software, desarrollador del gestor de contraseñas mSecure, ha advertido a sus clientes actuales y anteriores sobre una actividad sospechosa vinculada a la aplicación. En un correo electrónico enviado el 3 de noviembre, recomienda medidas como cambiar las contraseñas, restablecer la autenticación de dos factores (2FA) y eliminar las Claves de acceso, pero no explica qué ocurrió ni si se accedió a la información almacenada.

Ese mismo día, un cliente publicó el texto del correo electrónico en un hilo del foro de asistencia de mSecure. El mensaje señala que mSeven inició una investigación, tomó medidas para limitar el problema y contrató a especialistas externos en ciberseguridad. No identifica los sistemas afectados, no indica cuándo ocurrió la actividad ni si ya ha cesado, y tampoco revela cuántas personas recibieron la advertencia.

El correo electrónico tampoco aclara a qué cuentas deberían dar prioridad los clientes ni cómo realizar los pasos sugeridos. No especifica si las recomendaciones sobre 2FA y claves de acceso se aplican a las credenciales almacenadas en una bóveda, al inicio de sesión en una cuenta de mSecure o a ambos. Tampoco indica si los clientes deberían seguir usando mSecure, incluso para las contraseñas que acaban de cambiar.

Los clientes pueden sincronizar una bóveda de mSecure mediante mSecure Cloud, Dropbox, iCloud o Wi-Fi, pero el correo electrónico no señala si el método de sincronización elegido es relevante. mSecure 7 también permite almacenar claves de acceso y códigos 2FA junto con las contraseñas en el plan Essentials y los superiores.

mSecure afirma que los datos de las bóvedas se cifran en el dispositivo del cliente antes de sincronizarse y que sus desarrolladores no pueden acceder a la información de los clientes. La advertencia no indica si la actividad sospechosa llegó a los datos de las bóvedas o a las claves utilizadas para protegerlos.

A las 18:00 UTC del 3 de noviembre, mSeven no había publicado nada sobre el correo electrónico en las cuentas de X o Facebook de mSecure, y ningún miembro del personal había respondido en el hilo del foro. La versión más reciente para iPhone que figuraba en la App Store de Apple en ese momento era mSecure 7.1.0, publicada el 23 de octubre.

Fuentes: The Hacker News.