パスワード管理ソフトのmSecureは、「不審なアクティビティ」を検出したとして、現在および過去の顧客に対し、アプリに保存されている機密情報を保護するよう警告した。
しかし、ユーザーが取るべき行動に関するアドバイスには、何が起こったのか、誰の情報が危険にさらされている可能性があるのかについての説明は一切含まれていない。
この警告により、ユーザーは認証情報を交換するかどうか、そして交換後の認証情報をmSecureに保存することが安全かどうかを判断する必要に迫られる。
それらは全くもっともな疑問だが、mSecureの警告はそれらに答えていない。
The Hacker Newsが公開し、11月3日に顧客に送信されたメールの中で、mSecureの開発元であるmSeven Softwareは次のように述べています。
mSeven Software（以下「mSeven」）は最近、mSecureパスワード管理アプリケーションに関連する不審な活動を把握しました。これを受け、mSevenは迅速に調査を開始し、問題の軽減策を講じるとともに、外部のサイバーセキュリティ専門家の協力を得ました。
この通知では、顧客に対し、mSecureに保存されているすべての機密情報を保護するための措置を「直ちに講じる」よう推奨しています。その措置とは：
「これには、パスワードの変更、二段階認証方法のリセットまたは再登録、既存のパスキーの削除などが含まれる場合があります。」
しかし、この通知には、不審な活動の内容、発生日時、関与したシステム、顧客の保存情報に誰かがアクセスしたかどうかなどは一切記載されていない。メールを検証したThe Registerも、同社が顧客の秘密情報が漏洩したかどうかについて説明していないと指摘している。
安全に過ごす方法
今回の事件の規模は不明なため、mSevenが調査を行っている間は、最も重要なアカウントを優先的に保護することをお勧めします。
mSecureのパスワードを変更するだけでは、既に誰かがアカウントにアクセスしている場合、十分ではない可能性があります。mSecureのドキュメントには、既に誰かがアカウントの内容のバックアップを作成している可能性があると明記されています。しかし、このドキュメントには、今回の事件で何が起こったのかは明記されていません。
ユーザーは、有用なガイダンスを受け取るために、フォレンジック調査の完了を待つ必要はありません。誰が対応すべきか、どの認証情報に注意が必要か、そして通常これらの変更を管理するために使用するツールが引き続き安全に使用できるかどうかを知る必要があります。
mSevenがこれらの質問に回答するまでは、最も重要なアカウントを優先し、公式サービスを通じて関連する認証情報を更新し、アカウントのリセットなどの破壊的な操作を避けることをお勧めします。
- メインのメールアドレス、金融機関のアカウント、仕事用アカウント、その他のサービスへのアクセス復旧に使用するアカウントなど、各サービスの公式ウェブサイトまたはアプリからパスワードを変更してください。それぞれのアカウントには、新しく、異なる、強力なパスワードを設定してください。
- 保管庫に保存されている二段階認証情報を確認してください。不正アクセスによって情報が侵害される可能性がある場合は、サービスのセキュリティ設定を通じて、そのアカウントの認証情報を再登録することを検討してください。
- mSecureに保存されているパスキーについては、念のため、各ウェブサイトまたはアプリのアカウントセキュリティ設定を使用して古い登録を削除し、別のプロバイダーで新しい登録を作成してください。ただし、その前に、別の有効なログイン方法が利用できることを確認してください。
- 代替の認証情報をどこに保存するかについては、慎重に検討してください。この通知では、新しい認証情報をmSecureに保存することが安全かどうかは明記されていません。重要なアカウントをローテーションしているユーザーにとっては、一時的に別のパスワードマネージャーを使用することが賢明な予防策となります。
この件に関して新たな情報が入り次第、お知らせしますので、引き続きご注目ください。
正直言って、シークレットウィンドウには限界がある。
情報漏洩、ダークウェブ取引、クレジットカード詐欺。Malwarebytes Identity Theft Protection Malwarebytesこれらすべてを監視し、迅速に警告を発するだけでなく、個人情報盗難保険も付帯しています。
