mSeven Software exhorte les clients actuels et anciens de son gestionnaire de mots de passe mSecure à modifier les mots de passe enregistrés, à réinitialiser ou à réinscrire l’authentification à deux facteurs, et à supprimer les clés d’accès existantes après une cyberattaque impliquant le service. Dans sa notification envoyée aux clients le 3 novembre, l’entreprise a déclaré avoir découvert une activité suspecte et avoir lancé une enquête avec l’aide d’experts externes en cybersécurité.
La notification ne précisait pas quels systèmes avaient été touchés, si des données de clients avaient été dérobées ni combien de personnes pourraient être concernées. Elle conseillait aux clients de prendre des mesures pour protéger les informations confidentielles stockées dans mSecure.
Bien que mSeven n’ait pas rendu publics les détails de l’incident, des réponses du service client partagées par des utilisateurs indiqueraient qu’un pirate a dérobé une base de données chiffrée de mSecure Cloud. Ces réponses précisaient qu’elle contenait des informations appartenant à des utilisateurs actuels et anciens qui avaient synchronisé leurs bases de données de mots de passe par l’intermédiaire du service. Elles indiquaient également que l’entreprise ne disposait d’aucune preuve que l’attaquant ait accédé aux informations contenues dans la base de données.
mSecure stocke des mots de passe, des clés d’accès, des données financières et d’autres informations sensibles dans des coffres chiffrés pouvant être synchronisés entre appareils. Selon la documentation de sécurité de mSeven, les données sont chiffrées localement avec AES-256 avant d’être envoyées aux serveurs de l’entreprise, et celle-ci affirme ne pas pouvoir consulter le contenu déchiffré des coffres de ses clients.
Le vol présumé a suscité des questions de la part des clients quant à la nécessité de changer leurs identifiants si la base de données était chiffrée. Les coffres dérobés peuvent néanmoins présenter un risque si les attaquants parviennent à casser des mots de passe maîtres faibles à l’aide de méthodes hors ligne. Les clients ont également critiqué mSeven pour ne pas avoir expliqué publiquement comment la fuite s’était produite ni fourni davantage de détails sur les risques potentiels.
Selon les réponses du service client, mSeven aurait ajouté des mesures de sécurité et ne disposerait d’aucune preuve que l’application mSecure soit actuellement dangereuse à utiliser. BleepingComputer a indiqué avoir contacté l’entreprise pour lui poser des questions sur l’incident et ses conséquences pour les clients, mais n’avoir pas reçu de réponse.
Sources: BleepingComputer.