Clientes do gerenciador de senhas mSecure estão sendo orientados a agir rapidamente para proteger as informações confidenciais que armazenam no aplicativo, possivelmente trocando senhas, redefinindo a autenticação de dois fatores (2FA) e removendo chaves de acesso (passkeys).
O alerta veio em um e-mail enviado em 3 de novembro em nome da desenvolvedora mSeven Software. Segundo a mensagem, a empresa soube recentemente de atividade suspeita relacionada ao aplicativo, mas não informa o que aconteceu nem se os dados armazenados por algum usuário foram expostos.
De acordo com o e-mail, a mensagem foi enviada a clientes atuais e antigos do mSecure. Um cliente que a recebeu publicou o texto em uma discussão no fórum de suporte do mSecure, em 3 de novembro.
Até as 18h UTC (Horário Universal Coordenado) de 3 de novembro, a mSeven não havia publicado nada sobre o e-mail nas contas do mSecure no X e no Facebook. Nenhum integrante da equipe havia respondido à discussão no fórum.
O e-mail diz que a mSeven iniciou uma investigação, adotou medidas para limitar o problema e contratou especialistas externos em segurança cibernética. A mensagem não informa quais sistemas foram afetados, quando a atividade ocorreu, se ela já foi interrompida nem quantas pessoas receberam o e-mail.
O mSecure pode sincronizar o cofre de um cliente pelo mSecure Cloud, Dropbox, iCloud ou Wi-Fi. O e-mail não diz se faz diferença qual desses métodos o cliente usa.
O mSecure 7 pode manter chaves de acesso e códigos de 2FA no cofre, ao lado das senhas, no plano Essentials e nos planos superiores. O e-mail trata da proteção das informações armazenadas no mSecure. Não diz se as etapas de 2FA e de chaves de acesso cobrem esses itens armazenados, o login da própria conta mSecure ou ambos.
O mSecure afirma que os dados do cofre são criptografados no dispositivo do cliente antes de serem sincronizados e que nem mesmo os desenvolvedores conseguem acessar as informações dos clientes.
Segundo o Escritório Federal para a Segurança da Informação da Alemanha (BSI), na versão 6.1.5 do mSecure para Android a mSeven poderia, em teoria, acessar os dados armazenados. A constatação consta de um estudo publicado em dezembro de 2025. O BSI testou apenas essa versão, e os resultados podem ter mudado com atualizações posteriores.
O e-mail não diz se a atividade suspeita atingiu os dados do cofre ou as chaves que os protegem.
O que o e-mail pede aos clientes
O texto apresenta as medidas como possibilidades e não diz quais contas devem ser tratadas primeiro nem como executar cada etapa. Também não informa se os clientes devem continuar usando o mSecure, inclusive para guardar suas novas senhas.
Até as 18h UTC de 3 de novembro, a versão mais recente do mSecure para iPhone na App Store da Apple era a 7.1.0, lançada em 23 de outubro.
