Kunden von mSecure werden aufgefordert, die Zugangsdaten in ihrem Passwortmanager zu schützen. Die Empfehlungen gehen dabei über die Änderung eines einzelnen Master-Passworts hinaus.
Der Entwickler mSeven Software informierte am 3. Nov. aktuelle und ehemalige Kunden, nachdem verdächtige Aktivitäten im Zusammenhang mit mSecure entdeckt worden waren. Das Unternehmen empfahl sofortige Schutzmaßnahmen, zu denen die Änderung von Passwörtern, das Zurücksetzen der Zwei-Faktor-Authentifizierung und das Entfernen vorhandener Passkeys gehören können.
Spätere Antworten des Kundensupports deuten auf den Diebstahl einer verschlüsselten mSecure-Cloud-Datenbank hin. Ob Angreifer die darin enthaltenen Informationen lesen können, ist eine davon getrennte und ungeklärte Frage.
Was mSecure offengelegt hat
In seiner E-Mail, die von einem Kunden im mSecure-Supportforum wiedergegeben wurde, erklärte mSeven, man habe mit den Ermittlungen begonnen, Maßnahmen zur Schadensbegrenzung ergriffen und externe Cybersicherheitsexperten hinzugezogen.
In der Mitteilung wurden weder die Ursache noch die Zeitpunkte des Vorfalls, die Zahl der betroffenen Kunden oder die Frage genannt, ob gespeicherte Geheimnisse offengelegt worden waren.
Ein Kunde veröffentlichte später eine mSeven zugeschriebene Support-Antwort, in der es hieß, ein unbefugter Akteur habe eine verschlüsselte Datenbank mit Informationen aktueller und ehemaliger Nutzer erlangt. Laut der Antwort waren Nutzer der mSecure-Cloud-Synchronisierung betroffen; mSeven habe keine Hinweise darauf, dass der Angreifer auf die darin enthaltenen vertraulichen Informationen zugegriffen habe.
BleepingComputer berichtete über dieselbe Erklärung am 4. Nov. und berief sich dabei auf von Kunden geteilte Support-Antworten. Dem Bericht zufolge erklärte mSeven außerdem, zusätzliche Sicherheitsmaßnahmen umgesetzt zu haben und keine Hinweise darauf zu besitzen, dass die mSecure-Anwendung derzeit unsicher sei.
Das ist die Einschätzung des Unternehmens und keine unabhängige Zusicherung. Die Support-Antworten liefern mehr Einzelheiten als die ursprüngliche Mitteilung, ersetzen jedoch keinen vollständigen öffentlichen Bericht zum Vorfall.
Die Änderung des Master-Passworts ist nur ein Schritt
Das Master-Passwort eines Passwortmanagers und die darin gespeicherten Zugangsdaten erfüllen unterschiedliche Zwecke. Die Änderung des Master-Passworts ändert nicht automatisch die Passwörter, die zur Anmeldung bei E-Mail-, Banking- oder Unternehmensdiensten verwendet werden.
Die Richtlinien zum Kontoschutz von mSecure besagen, dass diese Änderungen über die offizielle App oder Website des jeweiligen Dienstes vorgenommen werden müssen. Diese Richtlinien beschreiben die allgemeine Kontowiederherstellung, legen jedoch nicht fest, was bei diesem Vorfall geschehen ist.
Das Verständnis dafür, wie Passwortmanager Zugangsdaten speichern und verwalten hilft zu erklären, warum eine Reaktion mehrere separate Kontoänderungen umfassen kann.
Auch eine Verschlüsselung macht eine gestohlene Datenbank nicht irrelevant. Je nach Aufbau und den einem Angreifer verfügbaren Geheimnissen kann ein kopierter Tresor Offline-Versuche ermöglichen, seinen Schutz zu knacken. Daraus folgt jedoch nicht, dass die Verschlüsselung von mSecure überwunden wurde.
Welche Konten Kunden priorisieren sollten
Während die Untersuchung andauert, ist es eine sinnvolle Vorsichtsmaßnahme, mit Konten zu beginnen, über die sich andere Dienste entsperren lassen oder bei denen der größte Schaden entstehen könnte:
- Primäre E-Mail- und Wiederherstellungskonten: Passwörter über den offiziellen Dienst ändern und Wiederherstellungsdaten sowie aktive Sitzungen überprüfen.
- Finanz- und Arbeitskonten: Starke, einmalige Ersatzpasswörter verwenden. Die IT-Abteilung informieren, wenn mSecure Unternehmenszugangsdaten enthält, damit gemeinsam genutzte oder privilegierte Zugriffe überprüft werden können.
- In mSecure gespeicherte Zwei-Faktor-Geheimnisse: Eine erneute Registrierung betroffener Authentifikatoren über die Sicherheitseinstellungen des jeweiligen Dienstes in Betracht ziehen und dabei eine funktionierende Wiederherstellungsmethode bereithalten.
- In mSecure gespeicherte Passkeys: Vor dem Widerruf der alten Registrierung beim Dienst und dem Erstellen eines Ersatzes eine weitere funktionierende Anmeldemethode einrichten.
Dies sind Vorsichtsmaßnahmen und kein Beleg dafür, dass alle Zugangsdaten offengelegt wurden. Malwarebytes empfiehlt, wichtige Konten zu priorisieren und vorübergehend einen anderen Passwortmanager für Ersatz-Zugangsdaten in Betracht zu ziehen. Das ist der vorsorgliche Rat von Malwarebytes; mSeven vertritt laut den Berichten die Position, keine Hinweise darauf zu haben, dass die Anwendung derzeit unsicher sei.
Die Warnung macht außerdem deutlich, warum sich nicht jedes Risiko für die Kontosicherheit allein durch starke Passwörter abdecken lässt. Neben Passwörtern müssen auch Wiederherstellungsmethoden und Authentifizierungsdaten berücksichtigt werden.
Was Unternehmen vor dem Abschluss des Vorfalls klären sollten
Für IT-Teams besteht die erste Aufgabe darin festzustellen, ob Mitarbeiter mSecure Cloud genutzt haben und welche Unternehmenskonten dort gespeichert waren. Administrative, finanzielle und Wiederherstellungszugriffe sollten priorisiert werden. Anschließend sollte dokumentiert werden, welche Passwörter, Authentifikator-Registrierungen und Passkeys ersetzt wurden.
Eine Migration allein macht Zugangsdaten, die möglicherweise bereits kopiert wurden, nicht ungültig. Ebenso kann der Wechsel des Synchronisierungsanbieters eine zuvor gestohlene Datenbank nicht zurückholen. Teams sollten Änderungen direkt bei den jeweiligen Diensten überprüfen, Zugriffsprotokolle auf Missbrauch kontrollieren und von mSeven eine schriftliche Klarstellung zu den betroffenen Daten und zur Eindämmung des Vorfalls anfordern.
Der Vorfall belegt keinen allgemeinen Fehler bei Passkeys. Separate Untersuchungen zu mit Google Password Manager synchronisierten Passkeys zeigen, warum die Sicherheit des Systems, in dem Authentifizierungsdaten gespeichert werden, ebenso wichtig ist wie die Anmeldemethode.
Bevor sie die Behebung als abgeschlossen betrachten, sollten Organisationen klären, wessen Daten betroffen waren, wodurch sie geschützt wurden und wie mSeven den Vorfall eingedämmt hat. Berichten zufolge erklärt mSeven, keine Hinweise darauf zu haben, dass die Anwendung derzeit unsicher sei; umfassendere technische Angaben würden Teams jedoch helfen, das verbleibende Risiko einzuschätzen. In der Zwischenzeit bietet der Ersatz der Zugangsdaten für Konten mit den größten Auswirkungen und die Überprüfung dieser Änderungen Kunden eine konkrete Möglichkeit, das Risiko zu verringern.