Le gestionnaire de mots de passe mSecure dit qu'un intrus a copié une base chiffrée

Le message est arrivé le 3 novembre dans la boîte des clients, actuels et anciens, de mSecure. L'éditeur de ce gestionnaire de mots de passe, mSeven Software, y évoque une « activité suspecte ». Il leur demande de changer leurs mots de passe, de réinitialiser leur double authentification et de supprimer les clés d'accès (passkeys) enregistrées. Le texte, transmis à BleepingComputer qui l'a relayé le 4 novembre, ne dit ni ce qui a été touché ni combien de personnes sont concernées.

Les précisions sont arrivées par un autre canal. Sur le forum d'assistance de mSecure, des utilisateurs ont recopié la réponse type qu'ils reçoivent du support. Une personne non autorisée y aurait « acquis une copie chiffrée d'une base de données » contenant des informations sur des utilisateurs actuels et anciens. L'éditeur dit n'avoir aucune preuve que le contenu confidentiel ait été consulté. Selon lui, seuls sont concernés les utilisateurs qui synchronisaient leurs données avec son service en ligne, mSecure Cloud.

Un coffre chiffré peut-il être ouvert ?

Sur le papier, la protection est solide. Selon la documentation de mSeven, mSecure chiffre les données en AES-256 directement sur l'appareil de l'utilisateur, avant tout envoi. L'éditeur dit ne jamais voir le contenu des coffres en clair : c'est le principe dit « à connaissance nulle ».

Mais un pirate qui détient un coffre peut l'attaquer chez lui, sans limite de temps ni nombre d'essais. BleepingComputer rappelle le précédent de LastPass : en 2022, des sauvegardes chiffrées de coffres avaient été dérobées, puis reliées plus tard à des vols de cryptomonnaies. Tout dépend alors de la solidité du mot de passe principal. Un mot de passe court ou déjà utilisé ailleurs pourrait céder. Une longue phrase de passe unique résiste bien mieux.

Plusieurs questions restent ouvertes. Comment l'intrus est-il entré ? Quelles informations de la base n'étaient pas chiffrées ? Quand le vol a-t-il eu lieu ? BleepingComputer dit avoir interrogé mSeven, sans réponse au moment de la publication.

Des clients qui découvrent l'affaire par le support

Sur le forum, l'agacement domine. Plusieurs utilisateurs reprochent à l'éditeur de ne rien avoir publié sur son site et de répondre à chaque demande par le même texte copié-collé. Une personne cliente depuis dix ans annonce son départ. D'autres demandent si les sauvegardes iCloud ou la synchronisation par Wi-Fi sont concernées : aucune réponse officielle n'apparaît dans la discussion.

Que faire si vous utilisez mSecure ?

Inutile d'attendre la fin de l'enquête : les consignes de l'éditeur suffisent à réduire le risque, à condition de les suivre dans le bon ordre.

• Changez d'abord votre mot de passe principal et choisissez une longue phrase de passe que vous n'utilisez nulle part ailleurs.
• Changez ensuite les mots de passe essentiels stockés dans le coffre : messagerie, banque, comptes professionnels, accès d'administration de vos sites et serveurs.
• Réinitialisez vos méthodes de double authentification et remplacez vos clés d'accès (passkeys), comme le demande l'éditeur.
• Méfiez-vous des messages qui se réclameraient de mSecure ou de mSeven pour vous faire « vérifier » votre compte.
• Si vous n'utilisiez pas la synchronisation mSecure Cloud, l'éditeur dit que vous n'êtes pas concerné. Changer le mot de passe principal reste une précaution peu coûteuse.

Reste une question que seul mSeven peut trancher : combien de coffres figuraient dans la base copiée ? Tant que l'éditeur ne publie rien, ses clients doivent se contenter d'une réponse de support.