Les clients de mSecure sont invités à protéger les identifiants stockés dans leur gestionnaire de mots de passe, avec des recommandations qui vont au-delà du simple changement d’un mot de passe principal.
L’éditeur mSeven Software a informé ses clients actuels et anciens le 3 novembre après avoir découvert une activité suspecte associée à mSecure. L’entreprise a recommandé de prendre immédiatement des mesures de protection, notamment de changer les mots de passe, de réinitialiser l’authentification à deux facteurs et de supprimer les clés d’accès existantes.
Des témoignages ultérieurs de clients concernant les réponses du support font état du vol d’une base de données mSecure Cloud chiffrée. La question de savoir si les attaquants peuvent lire les informations qu’elle contient reste distincte et sans réponse.
Ce que mSecure a divulgué
Dans son e-mail, reproduit par un client sur le forum d’assistance de mSecure, mSeven a indiqué avoir ouvert une enquête, pris des mesures d’atténuation et fait appel à des experts externes en cybersécurité.
L’avis ne précisait ni la cause, ni les dates de l’incident, ni le nombre de clients concernés, ni si les secrets stockés avaient été exposés.
Un client a ensuite publié une réponse du support attribuée à mSeven indiquant qu’un acteur non autorisé avait obtenu une base de données chiffrée contenant les informations d’utilisateurs actuels et anciens. La réponse précisait que l’incident concernait les utilisateurs de la synchronisation mSecure Cloud et que mSeven ne disposait d’aucun élément indiquant que l’attaquant avait accédé aux informations confidentielles qu’elle contenait.
BleepingComputer a rapporté la même explication le 4 novembre, en citant des réponses du support partagées par des clients. Le média a également indiqué que mSeven avait mis en place des mesures de sécurité supplémentaires et ne disposait d’aucun élément indiquant que l’application mSecure était actuellement dangereuse à utiliser.
Il s’agit de l’évaluation de l’entreprise, et non d’une garantie indépendante. Les réponses du support fournissent davantage de détails que l’avis initial, mais elles ne sauraient se substituer à un rapport public complet sur l’incident.
Changer le mot de passe principal ne constitue qu’une étape
Le mot de passe principal d’un gestionnaire de mots de passe et les identifiants qui y sont enregistrés ont des fonctions différentes. Changer le premier ne modifie pas automatiquement les mots de passe utilisés pour se connecter à sa messagerie, à ses services bancaires ou à ses services professionnels.
Les propres conseils de mSecure pour protéger les comptes indiquent que ces changements doivent être effectués depuis l’application ou le site officiel de chaque service. Ces conseils décrivent la récupération générale d’un compte, sans établir ce qui s’est passé lors de cet incident.
Comprendre comment les gestionnaires de mots de passe stockent et gèrent les identifiants aide à expliquer pourquoi la réaction peut nécessiter plusieurs changements de comptes distincts.
Le chiffrement ne rend pas non plus une base de données volée sans intérêt. Selon la conception du système et les secrets dont dispose l’attaquant, un coffre-fort copié peut permettre de tenter de casser sa protection hors ligne. Cette possibilité ne démontre pas que le chiffrement de mSecure a été compromis.
Quels comptes les clients doivent-ils sécuriser en priorité
Pendant la poursuite de l’enquête, une précaution pratique consiste à commencer par les comptes qui pourraient donner accès à d’autres services ou causer les dommages les plus importants :
- Comptes de messagerie principaux et comptes de récupération : remplacez les mots de passe via le service officiel et vérifiez les informations de récupération ainsi que les sessions actives.
- Comptes financiers et professionnels : utilisez des mots de passe de remplacement robustes et uniques. Prévenez l’équipe informatique si mSecure contient des identifiants professionnels, afin que les accès partagés ou privilégiés puissent être examinés.
- Secrets d’authentification à deux facteurs stockés dans mSecure : envisagez de réinscrire les authentificateurs concernés via les paramètres de sécurité de chaque service, en conservant une méthode de récupération fonctionnelle.
- Clés d’accès stockées dans mSecure : établissez une autre méthode de connexion fonctionnelle avant de révoquer l’ancienne inscription auprès du service et d’en créer une nouvelle.
Il s’agit de précautions, et non de la preuve que tous les identifiants ont été exposés. Malwarebytes recommande de donner la priorité aux comptes importants et d’envisager temporairement un autre gestionnaire de mots de passe pour les identifiants de remplacement. Cette suggestion relève des précautions recommandées par Malwarebytes ; selon la position rapportée de mSeven, l’entreprise ne dispose d’aucun élément indiquant que l’application est actuellement dangereuse.
L’avertissement souligne également pourquoi des mots de passe robustes ne suffisent pas à eux seuls à écarter tous les risques liés à la sécurité des comptes. Les méthodes de récupération et les identifiants d’authentification doivent être pris en compte au même titre que les mots de passe.
Ce que les entreprises doivent établir avant de clore l’incident
Pour les équipes informatiques, la première tâche consiste à déterminer si les employés utilisaient mSecure Cloud et quels comptes professionnels y étaient stockés. Donnez la priorité aux accès administratifs, financiers et de récupération, puis consignez les mots de passe, les inscriptions d’authentificateurs et les clés d’accès qui ont été remplacés.
Une migration à elle seule n’invalide pas les identifiants qui ont éventuellement déjà été copiés. De même, changer de fournisseur de synchronisation ne permet pas de récupérer une base de données précédemment volée. Les équipes doivent vérifier les changements directement auprès des services concernés, examiner les journaux d’accès pour détecter d’éventuels abus et demander à mSeven des précisions écrites sur les données touchées et le confinement de l’incident.
L’incident n’établit pas l’existence d’une faille dans les clés d’accès en général. Une étude distincte consacrée aux clés d’accès synchronisées de Google Password Manager montre pourquoi la sécurité du système qui conserve les identifiants d’authentification est tout aussi importante que la méthode de connexion.
Avant de considérer les mesures correctives comme terminées, les organisations doivent obtenir des précisions sur les données concernées, les protections qui les couvraient et la manière dont mSeven a contenu l’incident. Selon les informations disponibles, mSeven affirme ne disposer d’aucun élément indiquant que l’application est actuellement dangereuse, mais une divulgation technique plus complète aiderait les équipes à évaluer le risque résiduel. En attendant, remplacer les identifiants des comptes les plus sensibles et vérifier ces changements offre aux clients un moyen concret de réduire le risque.