Il 3 novembre mSeven Software, l'azienda che sviluppa il gestore di password mSecure, ha inviato ai clienti attuali ed ex clienti un'email in cui segnala che una persona non autorizzata ha ottenuto una copia cifrata di un database con informazioni degli utenti del servizio. La comunicazione, ripresa da BleepingComputer e da The Hacker News, non spiega come sia avvenuto l'accesso né da quanto tempo l'azienda ne fosse al corrente, ma conferma di aver avviato un'indagine, contenuto il problema e coinvolto esperti di sicurezza esterni.
Cosa consiglia di fare l'azienda
mSeven invita chi usa mSecure a cambiare quanto prima la password principale (master password), aggiornare le password più importanti salvate nella cassaforte digitale, rigenerare l'autenticazione a due fattori e sostituire le eventuali passkey custodite nell'app. Secondo quanto riportato da BleepingComputer, alcuni utenti hanno ricevuto risposte dal supporto che parlano di un database sottratto dal servizio mSecure Cloud; l'azienda avrebbe dichiarato di non avere, al momento, prove che il contenuto cifrato sia stato letto dagli aggressori.
Perché la cifratura non basta a stare tranquilli
Il database di un gestore di password è protetto da una cifratura legata alla master password di ciascun utente: se quella password è lunga e univoca, decifrarla richiede tempi lunghissimi anche con hardware potente. Il rischio aumenta per chi ha scelto una master password breve, semplice o già usata altrove, perché un attacco condotto offline su un file rubato non ha gli stessi limiti di tentativi di un normale accesso online.
Chi utilizza mSecure dovrebbe cambiare la master password direttamente dall'app con una frase lunga e non riutilizzata altrove, attivare, se disponibile, l'autenticazione a due fattori tramite un'app dedicata e verificare periodicamente, qualunque sia il gestore di password scelto, se sul sito ufficiale del produttore sono presenti avvisi di sicurezza.