Kunden von mSecure werden aufgefordert, die in ihrem Passwortmanager gespeicherten Zugangsdaten zu schützen. Die Empfehlungen gehen dabei über die Änderung eines einzelnen Master-Passworts hinaus.
Der Entwickler mSeven Software informierte aktuelle und ehemalige Kunden am 3. November, nachdem verdächtige Aktivitäten im Zusammenhang mit mSecure festgestellt worden waren. Das Unternehmen empfahl unverzügliche Schutzmaßnahmen, zu denen das Ändern von Passwörtern, das Zurücksetzen der Zwei-Faktor-Authentifizierung und das Entfernen bestehender Passkeys gehören können.
Spätere Berichte von Kunden über Antworten des Supports deuten auf den Diebstahl einer verschlüsselten mSecure-Cloud-Datenbank hin. Ob Angreifer die darin enthaltenen Informationen lesen können, ist eine davon getrennte und weiterhin ungeklärte Frage.
Was mSecure offengelegt hat
In seiner E-Mail, die ein Kunde im mSecure-Supportforum veröffentlicht hat, erklärte mSeven, man habe mit der Untersuchung begonnen, Maßnahmen zur Schadensbegrenzung ergriffen und externe Cybersicherheitsexperten hinzugezogen.
In der Mitteilung wurden weder die Ursache noch die Zeitpunkte des Vorfalls, die Zahl der betroffenen Kunden oder die Frage genannt, ob gespeicherte Geheimnisse offengelegt wurden.
Ein Kunde veröffentlichte später eine mSeven zugeschriebene Support-Antwort, laut der ein nicht autorisierter Akteur eine verschlüsselte Datenbank mit Informationen aktueller und ehemaliger Nutzer erlangt hatte. In der Antwort hieß es, der Vorfall betreffe Nutzer der mSecure-Cloud-Synchronisierung und mSeven habe keine Hinweise darauf, dass der Angreifer auf die darin enthaltenen vertraulichen Informationen zugegriffen habe.
BleepingComputer berichtete über dieselbe Erklärung am 4. November unter Berufung auf von Kunden geteilte Support-Antworten. Die Publikation berichtete außerdem, mSeven habe zusätzliche Sicherheitsmaßnahmen eingeführt und keine Hinweise darauf, dass die mSecure-Anwendung derzeit unsicher sei.
Das ist die Einschätzung des Unternehmens und keine unabhängige Bestätigung. Die Support-Antworten enthalten mehr Details als die ursprüngliche Mitteilung, ersetzen jedoch keinen vollständigen öffentlichen Untersuchungsbericht zum Vorfall.
Das Ändern des Master-Passworts ist nur ein Schritt
Das Master-Passwort eines Passwortmanagers und die darin gespeicherten Zugangsdaten erfüllen unterschiedliche Zwecke. Eine Änderung des Master-Passworts ändert nicht automatisch die Passwörter, die zur Anmeldung bei E-Mail-, Bank- oder Geschäftsdiensten verwendet werden.
mSecures eigene Anleitung zum Schutz von Konten erklärt, dass diese Änderungen über die offizielle App oder Website des jeweiligen Dienstes vorgenommen werden müssen. Die Anleitung beschreibt die allgemeine Kontowiederherstellung und legt nicht fest, was bei diesem Vorfall geschehen ist.
Wer versteht, wie Passwortmanager Zugangsdaten speichern und verwalten, kann besser nachvollziehen, warum eine Reaktion mehrere getrennte Änderungen an Konten erfordern kann.
Auch Verschlüsselung macht eine gestohlene Datenbank nicht bedeutungslos. Je nach Aufbau und den einem Angreifer verfügbaren Geheimnissen kann ein kopierter Tresor offline den Versuch ermöglichen, seinen Schutz zu knacken. Diese Möglichkeit belegt nicht, dass die Verschlüsselung von mSecure überwunden wurde.
Welche Konten Kunden priorisieren sollten
Solange die Untersuchung andauert, ist es sinnvoll, mit Konten zu beginnen, über die sich andere Dienste entsperren lassen oder bei denen der größte Schaden entstehen könnte:
- Primäre E-Mail- und Wiederherstellungskonten: Passwörter über den offiziellen Dienst ersetzen und Wiederherstellungsdaten sowie aktive Sitzungen überprüfen.
- Finanz- und Arbeitskonten: Starke, einzigartige Ersatzpasswörter verwenden. Die IT informieren, wenn mSecure Unternehmenszugangsdaten enthält, damit gemeinsam genutzte oder privilegierte Zugriffe überprüft werden können.
- In mSecure gespeicherte Zwei-Faktor-Geheimnisse: Eine erneute Registrierung betroffener Authentifikatoren über die Sicherheitseinstellungen der jeweiligen Dienste erwägen und dabei eine funktionierende Wiederherstellungsmethode bereithalten.
- In mSecure gespeicherte Passkeys: Eine weitere funktionierende Anmeldemethode einrichten, bevor die alte Registrierung beim Dienst widerrufen und ersetzt wird.
Dies sind Vorsichtsmaßnahmen und kein Beleg dafür, dass alle Zugangsdaten offengelegt wurden. Malwarebytes empfiehlt, wichtige Konten zu priorisieren und vorübergehend einen anderen Passwortmanager für Ersatz-Zugangsdaten in Betracht zu ziehen. Diese Empfehlung ist ein vorsorglicher Rat von Malwarebytes; mSeven vertritt laut den vorliegenden Angaben die Position, dass es keine Hinweise darauf gebe, dass die Anwendung derzeit unsicher sei.
Die Warnung zeigt zudem, warum starke Passwörter allein nicht jedes Risiko für die Kontosicherheit beseitigen. Wiederherstellungsmethoden und Authentifizierungsdaten müssen neben den Passwörtern ebenfalls berücksichtigt werden.
Was Unternehmen vor dem Abschluss des Vorfalls klären sollten
Für IT-Teams besteht die erste Aufgabe darin festzustellen, ob Mitarbeiter mSecure Cloud verwendet haben und welche Unternehmenskonten dort gespeichert waren. Zuerst sollten administrative, finanzielle und Wiederherstellungszugriffe berücksichtigt werden. Anschließend sollte dokumentiert werden, welche Passwörter, Authentifikator-Registrierungen und Passkeys ersetzt wurden.
Eine Migration macht Zugangsdaten, die möglicherweise bereits kopiert wurden, nicht automatisch ungültig. Ebenso kann der Wechsel des Synchronisierungsanbieters eine zuvor gestohlene Datenbank nicht zurückholen. Teams sollten Änderungen direkt bei den jeweiligen Diensten überprüfen, Zugriffsprotokolle auf Missbrauch kontrollieren und mSeven um eine schriftliche Klarstellung zu den betroffenen Daten und der Eindämmung des Vorfalls bitten.
Der Vorfall belegt keinen grundsätzlichen Fehler bei Passkeys. Eine separate Untersuchung zu den synchronisierten Passkeys im Google Password Managerzeigt, warum die Sicherheit des Systems, in dem Authentifizierungsdaten gespeichert werden, ebenso wichtig ist wie die Anmeldemethode.
Bevor sie die Behebung als abgeschlossen betrachten, sollten Organisationen klären, wessen Daten betroffen waren, wie diese geschützt wurden und wie mSeven den Vorfall eingedämmt hat. Laut den vorliegenden Angaben erklärt mSeven, es gebe keine Hinweise darauf, dass die Anwendung derzeit unsicher sei. Eine umfassendere technische Offenlegung würde Teams jedoch helfen, das verbleibende Risiko einzuschätzen. In der Zwischenzeit können Kunden das Risiko konkret verringern, indem sie die Zugangsdaten für Konten mit den größten Auswirkungen ersetzen und diese Änderungen überprüfen.