mSeven Software, lo sviluppatore del gestore di password mSecure, ha avvertito i clienti attuali e passati di attività sospette collegate all’app. Un’email inviata il 3 novembre raccomanda alcuni interventi, tra cui cambiare le password, reimpostare l’autenticazione a due fattori (2FA) e rimuovere le Passkey, ma non spiega che cosa sia accaduto né se siano state consultate le informazioni archiviate.
Quel giorno, un cliente ha pubblicato il testo dell’email in una discussione sul forum di supporto di mSecure. Il messaggio afferma che mSeven ha avviato un’indagine, ha adottato misure per limitare il problema e si è avvalsa di esperti esterni di cybersicurezza. Non identifica i sistemi coinvolti, non indica quando si è verificata l’attività né se sia cessata e non rivela quante persone abbiano ricevuto l’avviso.
L’email non chiarisce nemmeno quali account i clienti dovrebbero considerare prioritari né come completare le operazioni suggerite. Non specifica se i consigli sulla 2FA e sulle passkey si applichino alle credenziali archiviate in un vault, all’accesso a un account mSecure o a entrambi. Non indica neppure se i clienti debbano continuare a usare mSecure, anche per le password appena cambiate.
I clienti possono sincronizzare un vault mSecure tramite mSecure Cloud, Dropbox, iCloud o Wi-Fi, ma l’email non dice se la scelta del metodo di sincronizzazione sia rilevante. mSecure 7 può inoltre archiviare passkey e codici 2FA insieme alle password con il piano Essentials e i piani superiori.
mSecure afferma che i dati del vault vengono crittografati sul dispositivo del cliente prima della sincronizzazione e che i suoi sviluppatori non possono accedere alle informazioni dei clienti. L’avviso non dice se l’attività sospetta abbia raggiunto i dati del vault o le chiavi usate per proteggerli.
Alle 18:00 UTC del 3 novembre, mSeven non aveva pubblicato comunicazioni sull’email sugli account X o Facebook di mSecure e nessun membro dello staff aveva risposto alla discussione sul forum. In quel momento, l’ultima versione per iPhone indicata nell’App Store di Apple era mSecure 7.1.0, rilasciata il 23 ottobre.
Fonti: The Hacker News.