mSecure закликає користувачів змінити паролі та оновити 2FA через підозрілу активність
Головне за 30 секунд
- Компанія mSeven Software розіслала клієнтам електронні листи із застереженням через підозрілу активність навколо застосунку.
- Користувачам радять змінити збережені паролі, скинути двофакторну автентифікацію та видалити ключі доступу passkeys.
- Розробники залучили зовнішніх фахівців із кібербезпеки, проте не уточнили масштаб інциденту чи факт витоку даних.
- Офіційні соцмережі сервісу та представники служби підтримки на форумі не публікували додаткових роз'яснень.
Зміст
Попередження про підозрілу активність у системі
Користувачі менеджера паролів mSecure отримали електронні листи від імені компанії-розробника mSeven Software із закликом терміново захистити конфіденційні дані. Листи було надіслано 3 листопада нинішнім і колишнім клієнтам сервісу. У повідомленні йдеться про те, що розробники нещодавно зафіксували підозрілу активність, пов'язану із застосунком.
Як можливі заходи захисту розробники запропонували змінити паролі, скинути двофакторну автентифікацію (2FA) та видалити цифрові ключі passkeys. Водночас у листі не розкриваються технічні деталі інциденту, не зазначається, чи стався безпосередній витік збережених даних клієнтів, та не вказується кількість користувачів, які отримали таке сповіщення.
Реакція розробників і брак деталей щодо розслідування
Згідно з текстом розісланого листа, mSeven Software розпочала внутрішнє розслідування, вжила заходів для стримування загрози та залучила сторонніх експертів у сфері кібербезпеки. Попри це, у зверненні не вказано, які саме сервери чи системи постраждали, коли саме відбулася підозріла активність і чи вдалося її повністю зупинити.
Станом на 18:00 UTC 3 листопада представники сервісу не розмістили публічних роз'яснень у соціальних мережах X та Facebook. Окрім того, працівники компанії не надали відповідей у гілці підтримки на офіційному форумі, де один із клієнтів оприлюднив повний текст отриманого листа.
Зберігання сховищ, шифрування та незрозумілі аспекти рекомендацій
Менеджер паролів дає змогу синхронізувати зашифровані сховища через кілька каналів: mSecure Cloud, Dropbox, iCloud або локальну мережу Wi-Fi. Проте компанія не уточнила, чи має значення обраний користувачем метод синхронізації.
У версії mSecure 7 (на тарифі Essentials і вище) користувачі можуть зберігати разом із паролями як одноразові коди 2FA, так і ключі passkeys. Надані рекомендації стосуються захисту збереженої інформації, проте з листа незрозуміло, чи маються на увазі дані всередині сховища, параметри входу до самого облікового запису mSecure, чи обидва варіанти одночасно.
Розробники традиційно заявляють, що сховище шифрується безпосередньо на пристрої клієнта перед передачею в мережу, тож навіть інженери mSeven Software не мають доступу до даних. Лист також не повідомляє, чи торкнулася активність самих зашифрованих сховищ або ключів їх розшифрування.
Попередні дослідження безпеки та поточний стан версій
У звіті Федерального відомства з безпеки інформаційних технологій Німеччини (BSI), опублікованому в грудні 2025 року, зазначалося, що у версії mSecure 6.1.5 для Android компанія mSeven теоретично мала технічну можливість отримати доступ до даних. Однак фахівці BSI тестували лише ту конкретну версію, і ситуація могла змінитися в наступних оновленнях продукту.
Надані поради мають рекомендаційний характер: компанія не визначила пріоритетність дій, не пояснила кроки виконання та не уточнила, чи варто взагалі продовжувати користуватися додатком для збереження нових облікових даних. Станом на 18:00 UTC 3 листопада найновішою версією застосунку для iPhone в каталозі Apple App Store залишалася версія 7.1.0, випущена 23 жовтня.
