mSecure alerta usuários para trocar senhas e redefinir 2FA após atividade suspeita

A mSeven Software, desenvolvedora do gerenciador de senhas mSecure, enviou um comunicado de segurança em 3 de novembro recomendando que clientes atuais e antigos adotem medidas imediatas para proteger suas informações. Entre as orientações estão a troca de senhas, a redefinição da autenticação de dois fatores (2FA) e a remoção de passkeys armazenadas no aplicativo.

O alerta foi motivado pela identificação de atividades suspeitas relacionadas ao mSecure. Entretanto, a empresa não esclareceu a natureza do incidente nem confirmou se informações confidenciais dos usuários foram comprometidas.

Segundo o comunicado, a mSeven iniciou uma investigação, adotou medidas para conter o possível problema e contratou especialistas externos em cibersegurança. A empresa não informou quais sistemas foram afetados, quando a atividade ocorreu, se foi interrompida ou quantos usuários receberam a notificação.

O conteúdo do e-mail foi publicado por um cliente no fórum oficial de suporte do mSecure. Até as 18h UTC de 3 de novembro, não havia manifestação pública da empresa sobre o alerta em seus perfis no X e no Facebook, nem resposta de funcionários na discussão.

O mSecure permite sincronizar cofres de senhas por diferentes serviços, incluindo mSecure Cloud, Dropbox, iCloud e conexões Wi-Fi. Entretanto, o comunicado não esclarece se o método de sincronização utilizado influencia o risco de exposição.

A versão mSecure 7 também permite armazenar passkeys e códigos de autenticação de dois fatores junto às senhas, recurso disponível a partir do plano Essentials. A empresa não especificou se as recomendações de redefinição abrangem essas credenciais armazenadas, os mecanismos de acesso à própria conta mSecure ou ambos.

Em sua documentação, a desenvolvedora afirma que os dados dos cofres são criptografados diretamente nos dispositivos dos usuários antes da sincronização, impedindo que até mesmo seus funcionários tenham acesso às informações.

Entretanto, um estudo publicado em dezembro de 2025 pelo Escritório Federal de Segurança da Informação da Alemanha (BSI) identificou que, na versão 6.1.5 do mSecure para Android, a desenvolvedora poderia, teoricamente, acessar os dados armazenados. A avaliação se limitou àquela versão, e atualizações posteriores podem ter alterado esse comportamento.

Até o momento, não há confirmação de que as atividades suspeitas tenham atingido os cofres de senhas ou as chaves criptográficas responsáveis por protegê-los.

As orientações também apresentam algumas lacunas. A mSeven não definiu quais credenciais devem ser substituídas prioritariamente, como executar cada procedimento ou se os usuários devem continuar utilizando o mSecure para armazenar suas novas senhas.

Em 3 de novembro, a versão mais recente disponível para iPhone na App Store era a 7.1.0, lançada em 23 de outubro. A empresa ainda não havia esclarecido se o incidente estava relacionado a alguma vulnerabilidade específica do aplicativo.