Les clients de mSecure sont invités à protéger les identifiants stockés dans leur gestionnaire de mots de passe, avec des recommandations qui vont au-delà du simple changement du mot de passe principal.
L’éditeur mSeven Software a informé ses clients actuels et anciens le 3 novembre après avoir découvert une activité suspecte associée à mSecure. L’entreprise a recommandé de prendre immédiatement des mesures de protection, qui peuvent inclure le changement des mots de passe, la réinitialisation de l’authentification à deux facteurs et la suppression des clés d’accès existantes.
Des échanges ultérieurs entre des clients et le support évoquent le vol d’une base de données chiffrée de mSecure Cloud. La question de savoir si les attaquants peuvent lire les informations qu’elle contient reste distincte et sans réponse.
Ce que mSecure a révélé
Dans son e-mail, reproduit par un client sur le forum d’assistance de mSecure, mSeven a indiqué avoir commencé une enquête, pris des mesures d’atténuation et fait appel à des experts externes en cybersécurité.
L’avis ne précisait ni la cause, ni les dates de l’incident, ni le nombre de clients concernés, ni si les secrets stockés avaient été exposés.
Un client a ensuite publié une réponse du support attribuée à mSeven indiquant qu’un acteur non autorisé avait obtenu une base de données chiffrée contenant les informations d’utilisateurs actuels et anciens. La réponse précisait que l’incident concernait les utilisateurs de la synchronisation mSecure Cloud et que mSeven ne disposait d’aucun élément montrant que l’attaquant avait accédé aux informations confidentielles qu’elle contenait.
BleepingComputer a rapporté la même explication le 4 novembre, en citant des réponses du support partagées par des clients. Le site a également indiqué que mSeven avait mis en place des mesures de sécurité supplémentaires et ne disposait d’aucun élément montrant que l’application mSecure était actuellement dangereuse à utiliser.
Il s’agit de l’évaluation de l’entreprise, et non d’une assurance indépendante. Les réponses du support fournissent davantage de détails que l’avis initial, mais elles ne sauraient remplacer un rapport public complet sur l’incident.
Changer le mot de passe principal n’est qu’une étape
Le mot de passe principal d’un gestionnaire de mots de passe et les identifiants qui y sont enregistrés ont des fonctions différentes. Modifier le premier ne change pas automatiquement les mots de passe utilisés pour se connecter aux services de messagerie, bancaires ou professionnels.
Les recommandations de mSecure en matière de protection des comptes indiquent que ces changements doivent être effectués via l’application ou le site officiel de chaque service. Ces recommandations décrivent la récupération générale d’un compte, sans établir ce qui s’est passé lors de cet incident.
Comprendre comment les gestionnaires de mots de passe stockent et gèrent les identifiants aide à expliquer pourquoi une réponse peut nécessiter plusieurs changements de comptes distincts.
Le chiffrement ne rend pas non plus une base de données volée inoffensive. Selon la conception du système et les secrets dont dispose l’attaquant, une copie du coffre-fort peut permettre de tenter de casser sa protection hors ligne. Cette possibilité ne permet pas d’établir que le chiffrement de mSecure a été compromis.
Quels comptes les clients doivent-ils sécuriser en priorité
Pendant la poursuite de l’enquête, une précaution concrète consiste à commencer par les comptes qui pourraient donner accès à d’autres services ou causer les dommages les plus importants :
- Comptes de messagerie principaux et de récupération : remplacez les mots de passe via le service officiel et vérifiez les informations de récupération ainsi que les sessions actives.
- Comptes financiers et professionnels : utilisez des mots de passe de remplacement robustes et uniques. Prévenez le service informatique si mSecure contient des identifiants professionnels, afin que les accès partagés ou privilégiés puissent être examinés.
- Secrets d’authentification à deux facteurs stockés dans mSecure : envisagez de réinscrire les authentificateurs concernés via les paramètres de sécurité de chaque service, en conservant une méthode de récupération opérationnelle.
- Clés d’accès stockées dans mSecure : établissez une autre méthode de connexion opérationnelle avant de révoquer l’ancienne inscription auprès du service et d’en créer une nouvelle.
Il s’agit de précautions, et non d’une preuve que tous les identifiants ont été exposés. Malwarebytes recommande de donner la priorité aux comptes importants et d’envisager temporairement un autre gestionnaire de mots de passe pour les identifiants de remplacement. Cette suggestion relève des recommandations de précaution de Malwarebytes ; selon la position rapportée de mSeven, rien n’indique que l’application soit actuellement dangereuse.
L’avertissement souligne également pourquoi des mots de passe robustes ne suffisent pas à eux seuls à éliminer tous les risques liés à la sécurité des comptes. Les méthodes de récupération et les identifiants d’authentification doivent être traités au même titre que les mots de passe.
Ce que les entreprises doivent établir avant de clore l’incident
Pour les équipes informatiques, la première tâche consiste à déterminer si les employés utilisaient mSecure Cloud et quels comptes professionnels y étaient stockés. Donnez la priorité aux accès administratifs, financiers et de récupération, puis consignez les mots de passe, inscriptions d’authentificateurs et clés d’accès qui ont été remplacés.
Une migration ne rend pas invalides les identifiants qui ont déjà pu être copiés. De même, changer de fournisseur de synchronisation ne permet pas de récupérer une base de données précédemment volée. Les équipes doivent vérifier les changements directement auprès des services concernés, examiner les journaux d’accès pour détecter d’éventuels abus et demander à mSeven des précisions écrites sur les données concernées et le confinement de l’incident.
L’incident ne permet pas d’établir l’existence d’une faille dans les clés d’accès en général. Une étude distincte consacrée aux clés d’accès synchronisées de Google Password Manager illustre pourquoi la sécurité du système qui héberge les identifiants d’authentification est aussi importante que la méthode de connexion.
Avant de considérer les mesures correctives comme achevées, les organisations doivent obtenir des précisions sur les données concernées, leur protection et la manière dont mSeven a contenu l’incident. Selon les informations disponibles, mSeven affirme ne disposer d’aucun élément montrant que l’application est actuellement dangereuse, mais une communication technique plus complète aiderait les équipes à évaluer le risque résiduel. Dans l’intervalle, remplacer les identifiants des comptes les plus sensibles et vérifier ces changements offre aux clients un moyen concret de réduire les risques.