mSeven Softwareは、パスワードマネージャー「mSecure」の現在および過去の利用者に対し、パスワードの変更、2要素認証のリセット、パスキーの削除を行うよう呼びかけています。同社をめぐっては、ハッカーが暗号化された顧客データベースを盗み出したと報じられています。
同社は11月3日に利用者へ送付したセキュリティ通知で、パスワード管理アプリ「mSecure」に関わる不審なアクティビティを最近発見したと説明しました。この通知はBleepingComputerも入手しています。
通知には次のように書かれています。「mSeven Software（以下「mSeven」）は、パスワード管理アプリmSecureに関連する不審なアクティビティを最近把握しました」
「これを受け、mSevenは直ちに調査を開始して問題を軽減するための措置を講じるとともに、外部のサイバーセキュリティ専門家の協力を得ています。このメールは、現在または過去にmSecureをご利用いただいたお客様にお送りしています」
通知では、どのシステムが侵害されたのか、顧客データが盗まれたのか、何人のユーザーが影響を受けたのかについて、詳細は明らかにされていません。
一方で同社は、現在および過去のすべての利用者に対し、パスワードマネージャーに保存した機密情報をただちに保護するよう強く求めています。
通知は続けて、「これには、パスワードの変更、2要素認証方式のリセットまたは再登録、既存のパスキーの削除が含まれる場合があります」と述べています。
mSecureは、パスワードやパスキー、金融情報などの機密データを暗号化されたVaultに保存し、複数のデバイス間で同期できるパスワードマネージャーです。
mSevenのセキュリティ関連文書によると、mSecureはAES-256暗号化とゼロナレッジ・アーキテクチャを採用しています。データはユーザーのデバイス上で暗号化されてから同社のサーバーに送信されます。同社は、顧客のVaultの復号された内容にはアクセスできないとしています。
こうした保護の仕組みがあるため、データはサーバーへのアップロード前に暗号化されていたにもかかわらず、保存しているすべてのパスワードと認証情報の変更を勧められる理由が分からないと、利用者の間で戸惑いが広がっています。
暗号化されたパスワードデータベースが盗まれたと報道
当初の通知には詳細がほとんどありませんでしたが、利用者らはmSevenのサポートチームから受け取ったとされる返信を共有しています。それによると、ハッカーはmSecure Cloudから暗号化されたデータベースを盗み出したとのことです。
あるサポートフォーラムの投稿では、利用者が受け取った返信を紹介しています。返信には、盗まれたデータベースに現在および過去のmSecureユーザーの情報が含まれていたと書かれていました。
この返信によると、mSevenは盗難を発見し、その後に利用者へ通知したといいます。
また返信には、攻撃者が暗号化されたデータベース内の機密情報にアクセスした証拠はないとも記されていました。
利用者が共有した返信には、「なお、この問題の対象は、mSecure Cloudと同期していたユーザーのみです」とあります。
同社は追加のセキュリティ対策を実施したほか、mSecureアプリが現時点で安全に使えない状態にあることを示す証拠はないとも伝えたと報じられています。
ほかの利用者からも、同様の説明を受けたとの報告が寄せられています。その中には、インシデントの対象がmSecure Cloud経由でパスワードデータベースを同期していた利用者に限られるという確認も含まれます。
しかし利用者の間では、侵害に関する同社の透明性の欠如や、保存した認証情報へのリスクをめぐって不満が広がっています。mSevenが侵害の経緯を公に説明していないことも、不満に拍車をかけています。
mSevenは攻撃者が暗号化された情報にアクセスした証拠はないとしているとされます。ただ、盗まれたパスワードVaultは、マスターパスワードが脆弱な場合、オフライン攻撃で破られて重大なリスクとなる可能性があります。
これを示したのが、攻撃者が暗号化されたパスワードVaultを含むバックアップを盗んだ2022年のLastPass侵害です。
のちに研究者らは、この侵害を暗号資産の窃盗事件と関連づけました。攻撃者は脆弱なマスターパスワードを破り、保存されていた認証情報や秘密鍵、リカバリーフレーズにアクセスしたとみられています。
BleepingComputerはmSeven Softwareに対し、インシデントや盗まれたデータベース、利用者への潜在的な影響について問い合わせましたが、現時点で回答は得られていません。
