- mSecureは、現在および過去のユーザーのデータを含む暗号化されたクラウドデータベースに関わる侵害を公表
- 同社は、保管庫が復号されたという証拠はないものの、重要なパスワード、多要素認証（MFA）の方式、パスキーを変更するようユーザーに促した
- 当初の情報開示が限定的で、インシデントの範囲や影響が不透明だったため、顧客からの批判が拡大
人気パスワードマネージャーのmSecureは、データ侵害を受けたことを認めました。同社は「念のため」として、顧客にすべてを一括でリセットするよう呼びかけましたが、この対応に不満を抱くユーザーも少なくありません。
2026年11月3日、mSecureを提供するmSeven Softwareは顧客にメールを送り、「mSecureパスワード管理アプリケーションに関連する不審なアクティビティを最近把握した」と伝えました。同社はその後すぐに調査を開始して問題を緩和し、外部のサイバーセキュリティ専門家の支援も受けているとのことです。
通知は詳細に乏しい内容でしたが、「mSecureパスワード管理アプリケーション内に保存されているすべての機密情報を保護するため、直ちに対策を講じる」よう顧客に求めています。具体的には「パスワードの変更、二要素認証方式のリセットや再登録、既存のパスキーの削除」などが挙げられています。
暗号化されたデータベース
通知は何が起きたのかを説明しないまま、これらの対応を求めました。顧客の反応は厳しいものでした。Redditでは、対象はマスターパスワードだけなのか、それともマネージャー内に保存されたすべてのパスワードなのかを問う声が上がりました。mSecureに数百件のシークレットを保管しているユーザーもおり、そのすべてを変更するには何時間もかかります。
あるユーザーは「この通知は極めて不十分だ」と書き込んでいます。「根本的な脅威も、影響を受けた顧客も、変更作業に使うアプリケーション自体の安全性も明らかにせずに、数百件にもなりうる認証情報の変更を勧めるのは不適切だ」
mSecureはその後、続報の通知を出したとされ、これもSNS上で共有されました。ここではより詳しい情報が示されましたが、実際の侵害の深刻さをやや控えめに説明する内容でした。
同社は次のように述べています。「昨日、mSevenは、mSecureパスワード管理アプリケーションの現在および過去のユーザーに関する情報を含むデータベースの暗号化されたコピーを、権限のない者が取得したことを把握しました。重要な点として、mSevenは、権限のない者がmSecure Cloud内のデータベースに保存された機密情報にアクセスしたという証拠を把握していません」
平たく言えば、攻撃者がmSecure Cloud上にあったデータベースのコピーを持ち出したということです。パスワードマネージャーをこのクラウドサービスと同期していた現在および過去のユーザーは、すべてリスクにさらされています。
ただしmSevenは、インシデントの深刻度を小さく見せようとしました。発表の中では、盗まれたデータベースが暗号化されていること、そして攻撃者が復号に成功した証拠はないことを何度も繰り返しています。確かに暗号化されたデータベースは本来安全なはずです。しかし、将来誰かが解読の突破口を開く場合に備えて、こうしたデータを溜め込み続ける犯罪者は少なくありません。この手口には「HNDL（Harvest Now, Decrypt Later：今収集し、後で復号する）」という名前まで付いています。
全パスワードの変更を求められたことへのユーザーの批判にも、同社は次のように回答しました。
「標準的なベストプラクティスとして、mSevenはmSecureの顧客に対し、マスターパスワードの変更、保存されている重要なパスワードの変更、二要素認証方式のリセット、パスキーやその他の機密情報の更新を引き続き推奨します。これはあらゆる日常的なセキュリティ対策に含まれるべきものです」
トラブルに見舞われたのはmSecureだけではない
最後にmSecureは、アプリを削除しても状況は改善しないと述べました。また、この問題はmSecure Cloudと同期していたユーザーだけに関係すると強調しています。
同社は次のように述べています。「mSevenは、mSecureプラットフォームに保存されたすべての情報のセキュリティとプライバシーを非常に重く受け止めており、mSecureが現在安全でないという証拠は把握していません。サポートチームは、お客様からのご質問にできるだけ迅速に対応しています。皆様からの信頼を重く受け止めるとともに、ご理解と引き続きのご支援に感謝いたします」
今回の件が同社のイメージにどう影響するかは、まだ分かりません。Redditのあるユーザーは、同社がGoogle Playストアに投稿された否定的なレビューや苦情を削除していると指摘しています。とはいえ、こうしたインシデントに見舞われたパスワードマネージャーはmSecureだけではありません。今年6月には、LastPassが顧客の機密データの流出を認め、Dashlaneも攻撃者が少なくとも十数個の暗号化された保管庫を入手したと発表しました。
