mSeven Software esorta gli utenti attuali e passati del gestore di password mSecure a cambiare le password salvate, reimpostare o registrare nuovamente l’autenticazione a due fattori e rimuovere le passkey esistenti dopo un attacco informatico che ha coinvolto il servizio. La comunicazione dell’azienda, inviata ai clienti il 3 novembre, affermava che erano state rilevate attività sospette e che era stata avviata un’indagine con l’aiuto di esperti esterni di cybersicurezza.
L’avviso non spiegava quali sistemi fossero stati interessati, se fossero stati sottratti dati dei clienti né quante persone potessero essere coinvolte. Invitava i clienti a prendere provvedimenti per proteggere le informazioni riservate conservate in mSecure.
Sebbene mSeven non abbia descritto pubblicamente l’incidente, secondo quanto riferito, le risposte dell’assistenza clienti condivise dagli utenti affermavano che un hacker aveva rubato un database crittografato da mSecure Cloud. Tali risposte indicavano che conteneva informazioni appartenenti a utenti attuali e passati che avevano sincronizzato i propri database di password tramite il servizio. Affermavano inoltre che l’azienda non aveva prove che l’aggressore avesse avuto accesso alle informazioni contenute nel database.
mSecure conserva password, passkey, dati finanziari e altre informazioni sensibili in archivi crittografati che possono essere sincronizzati tra dispositivi. Secondo la documentazione sulla sicurezza di mSeven, i dati vengono crittografati localmente con AES-256 prima di essere inviati ai server dell’azienda, e quest’ultima afferma di non poter visualizzare il contenuto decrittografato degli archivi dei clienti.
Il furto segnalato ha sollevato domande tra i clienti sulla necessità di cambiare le credenziali nel caso in cui il database fosse crittografato. Gli archivi sottratti possono comunque rappresentare un rischio se gli aggressori riescono a decifrare password principali deboli con metodi offline. I clienti hanno inoltre criticato mSeven per non aver spiegato pubblicamente come si è verificata la violazione né aver fornito maggiori dettagli sui possibili rischi.
Secondo quanto riferito, le risposte dell’assistenza affermavano che mSeven aveva aggiunto misure di sicurezza e non aveva prove che l’app mSecure fosse attualmente insicura. BleepingComputer ha dichiarato di aver contattato l’azienda con domande sull’incidente e sul suo impatto sui clienti, ma di non aver ricevuto risposta.
Fonti: BleepingComputer.