mSeven Softwareは、パスワードマネージャー「mSecure」に関連する不審なアクティビティを検知したとして、現在および過去のmSecure利用者に対し、アプリに保存した機密情報を保護するよう警告しました。
2026年11月3日付でサポートフォーラムに共有された通知では、パスワードの変更、二要素認証(2FA)の リセットまたは再登録、既存パスキーの削除を推奨しています。
ただし、この通知では、攻撃者が暗号化されたVault(保管庫)、平文の認証情報、暗号鍵素材にアクセスしたかどうかは明らかにされていません。
通知には次のように記されています。「潜在的なセキュリティ上の影響を考慮し、mSevenは、mSecureパスワード管理アプリケーション内に保存されているすべての機密情報を保護するため、直ちに対策を講じることを推奨します」
通知は、侵入経路、影響を受けたインフラ、露出していた期間、顧客数のいずれも明示していません。このため、インシデントの技術的な範囲は不明のままです。
とりわけ、二要素認証のリセットを求める推奨は混乱を招いています。利用者からは、これがmSecure自体を保護する認証を指すのか、それともVault内に認証情報を保存しているすべての外部アカウントを指すのかという質問が出ています。
この違いは技術的に重要です。TOTPシードは、一時的な個別のコードではなく、認証コードの生成に使われる永続的な秘密情報だからです。
別の報道は、シードが盗まれた場合に交換が必要になる理由を示しています。ただし、mSevenの通知は、今回のインシデントでそうした秘密情報が漏えいしたかどうかを確認していません。パスキーに関する警告も同様に具体性を欠いています。
利用者からは、削除すべきなのがmSecureに保存した認証情報なのか、mSecureアカウントを保護する認証情報なのか、あるいはアプリを実行しているデバイス上のパスキーなのかを問う声が上がっています。パスキーは、再利用可能なパスワードではなく、オリジンに紐づく公開鍵暗号に基づいています。
通知は、影響を受けるパスキーの保管、同期、認証のどのコンポーネントなのかを特定しておらず、秘密鍵が抜き取られたことも確認していません。そのため、この推奨だけでは、どのパスキーの交換が必要かを判断できません。
Danielと名乗る顧客は、この警告がmSecureが掲げるゼロ知識のセキュリティモデルとどう整合するのかを疑問視しました。同期前にVaultが暗号化される仕組みを説明したうえで、アカウントキー、認証用QRコード、暗号化された鍵が侵害されたのかを尋ねています。
同様に、WebAuthnのアサーション検証は、認証セキュリティ上の別の検討事項です。公表された通知には、今回のインシデントをアサーションのリプレイ、プロトコルの不具合、暗号の破綻に結びつける記述は一切ありません。
mSecureは、mSecureアカウントのパスワードを変更すると基盤となる暗号鍵もローテーションされるのか、また、新たに変更した認証情報を現行アプリに安全に保存できるのかについて言及しました。
ある参加者は、パスワードを変更するとQRコードと鍵が変わったと報告しています。ただし、この観察はベンダーが確認した鍵ローテーションの説明ではなく、以前に保存された情報に誰かがアクセスしたかどうかを解消するものでもありません。
通知には、こうした具体的な懸念に応える技術的な保証がありません。フォーラムでは、対応にかかる負担がすでに表面化しています。ある顧客は500件超のパスワードを保存していると述べ、別の顧客は800件を超えるレコードがあると報告しました。
利用者が求めているのは、実行可能な範囲の明示です。具体的には、どの情報が危険にさらされているのか、どのような対処が必要なのか、そして緩和措置は完了しているのかという点です。
現時点の通知で確認できるのは、不審なアクティビティの存在と予防的な推奨事項にとどまります。Vaultの持ち出し、平文の漏えい、保存されたすべての認証情報の侵害は確認されていません。警告を正確に解釈するには、こうした区別が引き続き欠かせません。
1万6,000以上のSOCチームがANY.RUNを活用し、脅威調査の効率化と手作業の削減を実現しています。チームで試してみる
翻訳元: https://cyberpress.org/msecure-password-manager-warns-users/
