mSecureの顧客には、パスワードマネージャー内の認証情報を保護するよう求められている。助言は、単一のマスターパスワードを変更するだけにとどまらない。
開発元のmSeven Softwareは、mSecureに関連する不審な活動を発見した後、11月3日に現・元顧客へ通知した。同社は、パスワードの変更、2要素認証のリセット、既存のパスキーの削除など、直ちに保護措置を講じるよう推奨している。
その後、顧客がサポートへの返信について報告した内容から、暗号化されたmSecure Cloudのデータベースが盗まれた可能性が浮上した。攻撃者がその中の情報を読み取れるかどうかは、別途未解決の問題として残っている。
mSecureが公表した内容
mSevenは、顧客が mSecureのサポートフォーラムに転載したメールの中で、調査を開始し、緩和策を講じ、外部のサイバーセキュリティ専門家を招いたと説明した。
通知では、原因、インシデントの発生日、影響を受けた顧客数、保存されたシークレットが流出したかどうかは明らかにされなかった。
その後、顧客が mSevenによるものとされるサポート回答を投稿し、現・元ユーザーの情報を含む暗号化データベースを権限のない攻撃者が取得したと説明した。この回答によると、インシデントの影響を受けたのはmSecure Cloudの同期機能を利用するユーザーであり、mSevenは攻撃者がデータベース内の機密情報にアクセスした証拠を得ていないという。
同じ説明を11月4日に報じたのはBleepingComputerで、顧客が共有したサポート回答を引用している。同誌はまた、mSevenが追加のセキュリティ対策を実施し、現時点でmSecureアプリが安全に利用できないことを示す証拠はないと説明したと報じた。
これは独立した保証ではなく、同社による評価だ。サポート回答は初回の通知より詳しい情報を提供しているが、完全な公開インシデント報告書の代わりにはならない。
マスターパスワードの変更は一つの手順にすぎない
パスワードマネージャーのマスターパスワードと、そこに保存された認証情報は異なる目的を持つ。前者を変更しても、メールや銀行、業務サービスへのサインインに使うパスワードが自動的に変わるわけではない。
mSecureの アカウント保護に関するガイダンスでは、こうした変更は各サービスの公式アプリまたはWebサイトを通じて行う必要があるとしている。このガイダンスは一般的なアカウント復旧について説明したものであり、今回のインシデントで何が起きたかを確定するものではない。
パスワードマネージャーが認証情報を保存・管理する仕組みを理解すると、対応に複数の個別アカウント変更が必要になる場合がある理由が分かる。
暗号化されていても、盗まれたデータベースが無意味になるわけではない。設計や攻撃者が入手したシークレットによっては、コピーされた保管庫を使ってオフラインで保護を突破しようとする試みが可能になる場合がある。ただし、その可能性は、mSecureの暗号化が破られたことを示すものではない。
顧客が優先して対応すべきアカウント
調査が続く中での実践的な予防策は、他のサービスのロックを解除できるアカウントや、被害が最も大きくなり得るアカウントから着手することだ。
- 主要メールアカウントと復旧用アカウント：公式サービスを通じてパスワードを変更し、復旧情報とアクティブなセッションを確認する。
- 金融・業務用アカウント：強力で使い回しのないパスワードに変更する。mSecureに会社の認証情報が含まれている場合は、共有アクセスや特権アクセスを確認できるようIT部門に通知する。
- mSecureに保存された2要素認証シークレット：各サービスのセキュリティ設定から、影響を受けた認証アプリを再登録することを検討する。その際、利用可能な復旧手段を確保しておく。
- mSecureに保存されたパスキー：サービス上で古い登録を無効にして新しい登録を作成する前に、別のサインイン手段が機能することを確認する。
これらは予防策であり、すべての認証情報が流出したことを示す証拠ではない。Malwarebytesは 重要なアカウントを優先することを推奨し、変更後の認証情報については一時的に別のパスワードマネージャーを検討するよう提案している。この提案はMalwarebytesによる予防的な助言であり、mSevenが報告している見解は、現時点でアプリが安全に利用できないことを示す証拠はないというものだ。
今回の警告は、 強力なパスワードだけではあらゆるアカウントセキュリティ上のリスクに対処できないことを示している。パスワードと併せて、復旧手段と認証情報にも注意を払う必要がある。
インシデントを終結させる前に企業が確認すべきこと
ITチームにとって最初の作業は、従業員がmSecure Cloudを利用していたかどうか、またそこにどの業務用アカウントが保存されていたかを確認することだ。管理者権限、財務、復旧関連のアクセスを優先し、その後、どのパスワード、認証アプリの登録、パスキーを変更したか記録する。
移行しただけでは、すでにコピーされた可能性のある認証情報は無効にならない。同様に、同期プロバイダーを切り替えても、過去に盗まれたデータベースを回収することはできない。各サービス自体で変更を確認し、不正利用がないかアクセスログを調べ、影響を受けたデータと封じ込めについてmSevenに書面で説明を求めるべきだ。
今回のインシデントは、パスキー全般の欠陥を示すものではない。 Google Password Managerで同期されたパスキーに関する研究は、サインイン方式と併せて、認証情報を保持するシステムのセキュリティが重要である理由を示している。
対策が完了したと判断する前に、組織はどのユーザーのデータが関与し、何によって保護され、mSevenがどのようにインシデントを封じ込めたのかについて詳細を求めるべきだ。mSevenは、現時点でアプリが安全に利用できないことを示す証拠はないと説明しているとされるが、より詳しい技術情報が公開されれば、チームは残るリスクを評価しやすくなる。その間、影響が最も大きいアカウントの認証情報を変更し、その変更を確認することが、顧客がリスクを減らすために取れる具体的な方法となる。
続きを読む：Snowflakeの顧客侵害は、盗まれた認証情報と多要素認証の欠如によって、侵害されたログイン情報が大規模なデータ窃取につながり得ることを示している。