パスワードマネージャー「mSecure」は、「不審なアクティビティ」を検知したとして、現在および過去の利用者に対し、アプリに保存した機密情報を保護するよう呼びかけました。(Password manager)
しかし、利用者が取るべき対応についての案内はあるものの、何が起きたのか、誰の情報が危険にさらされている可能性があるのかという説明はありません。
この警告により、利用者は認証情報を新しいものに変更すべきか、そして新しい認証情報をmSecureに保存して安全なのかを、自分で判断しなければならなくなっています。
いずれももっともな疑問ですが、mSecureの警告はこれらに答えていません。
mSecureの開発元であるmSeven Softwareは、11月3日に顧客へ送信したメールで次のように述べています。このメールはThe Hacker Newsが公開しました。
「mSeven Software（以下「mSeven」）は最近、パスワード管理アプリケーション『mSecure』に関連する不審なアクティビティを把握しました。これを受けて、mSevenは速やかに調査を開始し、問題を緩和するための措置を講じるとともに、外部のサイバーセキュリティ専門家の支援を依頼しました。」
通知では、顧客に対し、mSecureに保存しているすべての機密情報を保護するため、直ちに対策を講じるよう推奨しています。その対策は次のとおりです。
「パスワードの変更、二要素認証方式のリセットまたは再登録、既存のパスキーの削除などが含まれる場合があります。」
一方で、通知には、不審なアクティビティの内容、発生時期、関係するシステムは記されていません。顧客が保存した情報に誰かがアクセスしたかどうかも不明です。The Registerもこのメールを確認しており、顧客の機密情報が漏えいしたのかどうかを同社が説明していないと指摘しています。
身を守るための対策
インシデントの範囲が分からないため、mSevenの調査が進む間は、最も重要なアカウントから優先的に対応することをお勧めします。
すでに第三者がアカウントにアクセスしている場合、mSecureのパスワードを変更するだけでは不十分な可能性があります。mSecureのドキュメントは、内容のバックアップがすでに作成されている可能性があると明確に警告しています。ただし、このガイダンスは、今回のインシデントで何が起きたかを裏付けるものではありません。
利用者は、フォレンジック調査の完了を待たなければ有益な情報を得られない、という状況に置かれるべきではありません。誰が対応すべきか、どの認証情報に注意が必要か、そして変更作業に普段使っているツールが引き続き安全に使えるのかを知る必要があります。
mSevenがこれらの点を明らかにするまでは、最も重要なアカウントを優先し、公式サービス経由で該当する認証情報を変更し、アカウントを完全に初期化するような破壊的なリセットは避けることをお勧めします。
- 各サービスの公式サイトまたは公式アプリからパスワードを変更します。メインのメールアカウント、金融関連のアカウント、業務用アカウント、他のサービスへのアクセス回復に使うアカウントから始めてください。パスワードはそれぞれ、新しい別の強力なものにします。
- 保管庫に保存している二要素認証を見直します。不正アクセスによって侵害された可能性がある場合は、サービスのセキュリティ設定から、そのアカウントの認証アプリを再登録することを検討してください。
- mSecureに保存したパスキーについては、念のため、各Webサイトやアプリのアカウントセキュリティ設定で古い登録を削除し、別のプロバイダーで新しく作成します。ただし、その前に、別の有効なサインイン方法が使えることを確認してください。
- 新しい認証情報の保存先は慎重に考えてください。通知からは、mSecureに新しい認証情報を保存しても安全かどうかは確認できません。重要なアカウントの認証情報を今すぐ更新する場合は、一時的に別のパスワードマネージャーを使うのが妥当な予防策です。
このインシデントについて新たな情報が分かり次第お伝えしますので、続報をお待ちください。
シークレットウィンドウにできることは限られています。
情報漏えい、ダークウェブでの取引、クレジット詐欺。Malwarebytes Identity Theft Protection はそのすべてを監視し、素早く通知します。個人情報の盗難に備えた保険も付いています。
