mSeven Software, le développeur du gestionnaire de mots de passe mSecure, a averti ses clients actuels et anciens d’une activité suspecte liée à l’application. Un courriel envoyé le 3 novembre recommande plusieurs mesures, notamment de changer ses mots de passe, de réinitialiser l’authentification à deux facteurs (2FA) et de supprimer ses clés d’accès, mais n’explique pas ce qui s’est passé ni si des informations stockées ont été consultées.
Un client a publié le texte du courriel dans un fil de discussion du forum d’assistance mSecure le même jour. Le message indique que mSeven a commencé à enquêter, pris des mesures pour limiter le problème et fait appel à des experts externes en cybersécurité. Il ne précise pas quels systèmes étaient concernés, quand l’activité s’est produite ni si elle a cessé, et ne révèle pas combien de personnes ont reçu l’avertissement.
Le courriel ne précise pas non plus quels comptes les clients devraient traiter en priorité ni comment effectuer les démarches suggérées. Il n’indique pas si les conseils concernant la 2FA et les clés d’accès s’appliquent aux identifiants enregistrés dans un coffre-fort, à la connexion à un compte mSecure, ou aux deux. Il ne précise pas non plus si les clients devraient continuer à utiliser mSecure, notamment pour leurs mots de passe nouvellement modifiés.
Les clients peuvent synchroniser un coffre-fort mSecure via mSecure Cloud, Dropbox, iCloud ou Wi-Fi, mais le courriel ne dit pas si le choix du mode de synchronisation est pertinent. mSecure 7 peut également stocker des clés d’accès et des codes 2FA aux côtés des mots de passe avec l’abonnement Essentials et les formules supérieures.
mSecure indique que les données du coffre-fort sont chiffrées sur l’appareil du client avant leur synchronisation et que ses développeurs ne peuvent pas accéder aux informations des clients. L’avertissement ne précise pas si l’activité suspecte a atteint les données des coffres-forts ou les clés servant à les protéger.
Au 3 novembre, à 18 h 00 UTC, mSeven n’avait rien publié au sujet du courriel sur les comptes X ou Facebook de mSecure, et aucun membre du personnel n’avait répondu dans le fil du forum. La dernière version pour iPhone répertoriée à ce moment-là sur l’App Store d’Apple était mSecure 7.1.0, publiée le 23 octobre.
Sources: The Hacker News.