A mSeven Software, desenvolvedora do gerenciador de senhas mSecure, alertou clientes atuais e antigos sobre atividade suspeita ligada ao aplicativo. Um e-mail enviado em 3 de novembro recomenda medidas como trocar senhas, redefinir a autenticação de dois fatores (2FA) e remover Chaves de acesso, mas não explica o que aconteceu nem se as informações armazenadas foram acessadas.
Um cliente publicou o texto do e-mail em uma discussão no fórum de suporte do mSecure naquele dia. A mensagem diz que a mSeven iniciou uma investigação, tomou medidas para limitar o problema e contratou especialistas externos em cibersegurança. Ela não identifica os sistemas envolvidos, não informa quando a atividade ocorreu nem se foi interrompida, e tampouco revela quantas pessoas receberam o alerta.
O e-mail também não esclarece quais contas os clientes devem priorizar nem como concluir as etapas sugeridas. Não especifica se as recomendações sobre 2FA e chaves de acesso se aplicam às credenciais armazenadas em um cofre, ao login em uma conta mSecure ou a ambos. Também não diz se os clientes devem continuar usando o mSecure, inclusive para senhas recém-alteradas.
Os clientes podem sincronizar um cofre do mSecure pelo mSecure Cloud, Dropbox, iCloud ou Wi-Fi, mas o e-mail não indica se a escolha do método de sincronização é relevante. O mSecure 7 também pode armazenar chaves de acesso e códigos de 2FA junto com senhas no plano Essentials e nos planos superiores.
A mSecure afirma que os dados do cofre são criptografados no dispositivo do cliente antes da sincronização e que seus desenvolvedores não podem acessar as informações dos clientes. O alerta não informa se a atividade suspeita alcançou os dados dos cofres ou as chaves usadas para protegê-los.
Até as 18h00 UTC de 3 de novembro, a mSeven não havia publicado informações sobre o e-mail nas contas do mSecure no X ou no Facebook, e nenhum funcionário havia respondido na discussão do fórum. A versão mais recente para iPhone listada na App Store da Apple naquele momento era a mSecure 7.1.0, lançada em 23 de outubro.
Fontes: The Hacker News.