Le gestionnaire de mots de passe mSecure a averti ses clients actuels et anciens de protéger les informations confidentielles stockées dans son application après avoir détecté une « activité suspecte ».
Mais ses conseils sur ce que les utilisateurs doivent faire ne fournissent aucune explication sur ce qui s'est passé ni sur les informations qui pourraient être compromises.
L'avertissement laisse aux utilisateurs le soin de décider s'ils doivent remplacer leurs identifiants et s'il est sûr de stocker les nouveaux identifiants dans mSecure.
Bien que ces questions soient parfaitement légitimes, l'avertissement de mSecure n'y répond pas.
Dans un courriel publié par The Hacker News et envoyé aux clients le 3 novembre, le développeur de mSecure, mSeven Software, a déclaré :
« La société mSeven Software (« mSeven ») a récemment constaté une activité suspecte liée à son application de gestion de mots de passe mSecure. En réponse, mSeven a rapidement lancé une enquête, pris des mesures pour atténuer le problème et fait appel à des experts externes en cybersécurité pour obtenir de l’aide. »
L’avis recommande aux clients de « prendre immédiatement des mesures pour protéger toutes les informations confidentielles » stockées dans mSecure. Ces mesures :
« Cela peut inclure la modification des mots de passe, la réinitialisation ou la réinscription aux méthodes d'authentification à deux facteurs, ou la suppression des clés d'accès existantes. »
Toutefois, l'avis ne précise ni l'activité suspecte, ni sa date, ni les systèmes concernés, ni si des informations clients ont été consultées . The Register , qui a également examiné le courriel, a noté que l'entreprise n'avait pas indiqué si des données confidentielles de clients avaient été compromises.
Comment assurer la sécurité
L’ampleur de l’incident étant inconnue, nous vous recommandons de donner la priorité à vos comptes les plus importants pendant que mSeven mène l’enquête.
Changer votre mot de passe mSecure ne suffira peut-être pas si quelqu'un a déjà accédé à votre compte. La documentation mSecure indique clairement qu'une sauvegarde de son contenu peut avoir été effectuée. Ces instructions ne permettent pas d'établir les circonstances de cet incident.
Les utilisateurs ne devraient pas avoir à attendre la fin d'une enquête forensique pour recevoir des conseils utiles. Ils doivent savoir qui doit intervenir, quels identifiants nécessitent une attention particulière et si l'outil qu'ils utilisent habituellement pour gérer ces modifications reste sûr.
En attendant que mSeven fournisse ces réponses, nous vous conseillons de donner la priorité à vos comptes les plus importants, de remplacer les identifiants concernés via les services officiels et d'éviter les réinitialisations de compte destructrices :
- Changez vos mots de passe sur le site web ou l'application officielle de chaque service, en commençant par votre messagerie principale, vos comptes bancaires, vos comptes professionnels et les comptes utilisés pour récupérer l'accès à d'autres services. Utilisez un mot de passe nouveau, différent et complexe pour chacun.
- Vérifiez l'authentification à deux facteurs enregistrée dans le coffre-fort. Si elle risque d'être compromise par un accès non autorisé, envisagez de réenregistrer l'authentificateur de ce compte via les paramètres de sécurité du service.
- Pour les mots de passe stockés dans mSecure, utilisez les paramètres de sécurité de chaque site web ou application pour supprimer l'ancien enregistrement et en créer un nouveau auprès d'un autre fournisseur, par mesure de précaution. Assurez-vous toutefois de disposer d'une autre méthode de connexion fonctionnelle au préalable.
- Réfléchissez bien à l'endroit où enregistrer vos nouveaux identifiants. Cette notification n'indique pas si l'enregistrement de ces identifiants dans mSecure est sans risque. Pour les utilisateurs qui changent régulièrement leurs comptes importants, l'utilisation temporaire d'un autre gestionnaire de mots de passe constitue une précaution raisonnable.
Nous vous tiendrons au courant si nous en apprenons davantage sur cet incident, alors restez à l'écoute.
Soyons réalistes, une fenêtre de navigation privée a ses limites.
Intrusions de données, transactions sur le dark web, fraudes à la carte bancaire : Malwarebytes Identity Theft Protection vous protège contre tout cela, vous alerte rapidement et inclut une assurance contre l’usurpation d’identité.
