Źródło: unsplash.com/photos/mT7lXZPjk7U
Użytkownicy menedżera haseł mSecure otrzymali ostrzeżenie o podejrzanej aktywności związanej z aplikacją. W wiadomości wysłanej 3 listopada w imieniu dewelopera, firmy mSeven Software, zalecono rozważenie zmiany haseł, zresetowania uwierzytelniania dwuskładnikowego, czyli 2FA, oraz usunięcia kluczy dostępu, znanych także jako passkeys. Komunikat trafił do obecnych i byłych klientów.
mSeven nie podało, co dokładnie się wydarzyło, kiedy doszło do podejrzanej aktywności ani jakie systemy mogły zostać objęte zdarzeniem. Nie wiadomo również, czy aktywność nadal trwała, czy ktokolwiek uzyskał dostęp do danych przechowywanych w skarbcu mSecure oraz ile osób otrzymało wiadomość. Firma poinformowała, że rozpoczęła dochodzenie, podjęła działania ograniczające problem i zaangażowała zewnętrznych ekspertów do spraw cyberbezpieczeństwa.
Treść wiadomości opublikował 3 listopada klient na forum pomocy mSecure. Do godziny 18:00 UTC tego dnia mSeven nie zamieściło informacji o ostrzeżeniu na swoich kontach w serwisach X ani Facebook, a pracownik firmy nie odpowiedział w wątku forum. Sam komunikat przedstawia zalecane działania jako możliwe kroki ochronne, ale nie wskazuje, od których kont należy zacząć ani czy dotyczą one konta mSecure, danych zapisanych w skarbcu, czy obu tych obszarów.
mSecure może synchronizować skarbiec przez mSecure Cloud, Dropbox, iCloud lub sieć Wi-Fi. Wiadomość nie wyjaśnia, czy wybór metody synchronizacji ma znaczenie dla oceny ryzyka. Według informacji producenta dane są szyfrowane na urządzeniu przed synchronizacją, a deweloperzy nie powinni mieć do nich dostępu. W grudniu 2025 roku niemiecki Federalny Urząd Bezpieczeństwa Informacji, BSI, wskazał jednak teoretyczną możliwość dostępu do danych w wersji mSecure 6.1.5 dla Androida. Badanie dotyczyło wyłącznie tej wersji, a jego ustalenia mogą nie odnosić się do późniejszych aktualizacji. Ostrzeżenie mSeven nie mówi, czy podejrzana aktywność obejmowała skarbiec lub klucze chroniące jego zawartość. Nie wskazuje też, czy użytkownicy powinni nadal korzystać z aplikacji, w tym przechowywać w niej nowe hasła.
Słownik artykułu
Krótkie objaśnienia terminów występujących w tekście. Każde hasło prowadzi do szerszej definicji i przykładów użycia.
Metoda potwierdzania tożsamości wymagająca dwóch niezależnych elementów, na przykład hasła i jednorazowego kodu. Utrudnia przejęcie konta po ujawnieniu samego hasła.
Passkey to poświadczenie używane do logowania bez wpisywania hasła. Opiera się na parze kluczy kryptograficznych, z których prywatny pozostaje pod kontrolą urządzenia lub menedżera poświadczeń.
Przekształcanie danych do postaci nieczytelnej bez odpowiedniego klucza. Proces ten ma chronić informacje przed odczytem przez osoby nieuprawnione.
Brak komentarzy. Bądź pierwszy!