セキュリティ
ベンダーがパスワード、2FA、パスキーのリセットを勧告。何が侵害されたのか、利用者は戸惑い
パスワードマネージャーのmSecureは、不審なアクティビティを検知したとして、利用者にパスワードの変更、二要素認証のリセット、場合によってはパスキーの削除を呼びかけました。しかし、何が起きたのか、利用者の機密情報が漏えいしたのかどうかについては、説明していません。
米国の開発元mSeven Softwareは、11月3日に利用者へ送付したメールの中で、パスワード管理アプリに異常を発見し、調査を開始したと説明しました。このメールはThe Registerも確認しています。
同社はメールで次のように述べています。「mSeven Software（以下「mSeven」）は最近、パスワード管理アプリケーションmSecureに関連する不審なアクティビティを把握しました。これを受けてmSevenは速やかに調査を開始し、問題を軽減するための措置を講じるとともに、外部のサイバーセキュリティ専門家にも支援を依頼しました」
ただ、不審なアクティビティの具体的な内容や発生時期、攻撃者が顧客情報にアクセスしたかどうかについては、まだ回答していません。
とはいえ、利用者への助言を見る限り、事態を深刻に受け止めるべきだと考えられます。
メールにはこう続いています。「セキュリティ上の影響が生じる可能性があることから、mSevenは、mSecureパスワード管理アプリケーションに保存されているすべての機密情報を保護するための措置を、直ちに講じることをお勧めします。具体的には、パスワードの変更、二要素認証方式のリセットまたは再登録、既存のパスキーの削除などが考えられます」
mSecureに数百件のパスワードを保存している人にとっては、作業に何時間もかかりかねません。しかも、何が起きたのかが分からないため、どの認証情報を実際に変更すべきか判断する手立てがありません。
この通知は当然ながら利用者に不評で、mSecureのサポートフォーラムには説明を求める声が相次いでいます。
ある利用者は次のように書き込みました。「セキュリティ侵害があったと勧告する下記のメールについて、もっと詳しい状況を説明してください。『措置を講じる』という曖昧な助言では受け入れられません。どのような是正措置が必要で、どのデータが侵害されたのかを明示してください」
ほかにも、この先数日をかけて保存済みのパスワードをすべて変更しなければならないのかと疑問視する声があります。
別の利用者は「mSecureに800件以上のパスワードを保存しているのですが、メールはそのすべてを変更せよという意味ですか」と尋ねています。
また、500件以上のパスワードを保存しているという別の利用者は、この警告がアカウントに紐づくすべての二要素認証方式とパスキーを対象としているのか、それともmSecure自体へのアクセスに使うものだけを指すのかを問いました。
混乱はRedditにも波及しています。利用者は曖昧な通知のコピーを共有し、何が起きたのかを推測し合っています。
mSevenはThe Registerの質問にまだ回答していません。そのため利用者は、データが実際に侵害されたのか、それとも同社が念のため慎重を期しているだけなのか、推測するほかありません。他人の秘密を守ることを事業の根幹とする企業の対応として、安心できるものではありません。
同社のメールは「ご不便をおかけすることをお詫び申し上げます」と結ばれています。数百件ものパスワードのリセットを迫られる利用者にとって、「不便」という言葉は控えめすぎる表現かもしれません。®
