O gestor de palavras-passe mSecure alertou os clientes atuais e antigos para que protejam as informações confidenciais armazenadas na sua aplicação após detetarem "atividade suspeita".
Mas as suas recomendações sobre o que os utilizadores devem fazer vêm sem uma explicação do que aconteceu ou de quem a informação pode estar em risco.
O aviso deixa aos utilizadores a decisão de substituir ou não as credenciais — e se é seguro armazenar as versões substitutas no mSecure.
Embora estas sejam perguntas perfeitamente razoáveis, o aviso da mSecure não as responde.
Num e-mail publicado pelo The Hacker News e enviado aos clientes no dia 3 de novembro, a empresa de desenvolvimento do mSecure, mSeven Software, afirmou:
"A mSeven Software ('mSeven') tomou recentemente conhecimento de atividades suspeitas associadas à aplicação de gestão de palavras-passe mSecure. Em resposta, a mSeven iniciou rapidamente uma investigação, tomou medidas para mitigar o problema e contratou especialistas externos em cibersegurança para auxiliar no processo."
O aviso recomenda que os clientes “tomem medidas imediatas para proteger todas as informações confidenciais” armazenadas no mSecure. Estas medidas incluem:
“Pode incluir a alteração de palavras-passe, a reposição ou o reingresso de métodos de autenticação de dois fatores ou a remoção de chaves de acesso existentes.”
Mas o aviso não identifica a atividade suspeita, quando ocorreu, que sistemas estavam envolvidos ou se alguém acedeu a informação armazenada dos clientes . O The Register , que também analisou o e-mail, referiu que a empresa não explicou se os dados confidenciais dos clientes foram expostos.
Como manter-se seguro
Como a extensão do incidente é desconhecida, recomendamos que priorize as suas contas mais importantes enquanto a mSeven investiga.
Alterar apenas a sua palavra-passe do mSecure pode não ser suficiente se alguém já tiver acedido à sua conta. A documentação do mSecure alerta explicitamente que alguém pode já ter feito um backup do conteúdo da sua conta. Esta orientação não esclarece o que aconteceu neste incidente.
Os utilizadores não devem ter de esperar pela conclusão de uma investigação forense para receberem orientações úteis. Precisam de saber quem deve agir, que credenciais precisam de atenção e se a ferramenta que normalmente utilizam para gerir essas alterações continua segura.
Até que a mSeven forneça estas respostas, a nossa recomendação é priorizar as suas contas mais importantes, substituir as credenciais relevantes através de serviços oficiais e evitar redefinições de conta prejudiciais:
- Altere as palavras-passe através do site ou aplicação oficial de cada serviço, começando pelo seu e-mail principal, contas financeiras, contas de trabalho e contas utilizadas para recuperar o acesso a outros serviços. Utilize uma palavra-passe nova, diferente e forte para cada uma delas.
- Reveja a autenticação de dois fatores armazenada no cofre. Se puder ser comprometida por acesso não autorizado, considere voltar a inserir o autenticador dessa conta nas definições de segurança do serviço.
- Para as chaves de acesso armazenadas no mSecure, utilize as definições de segurança da conta de cada site ou aplicação para remover o registo antigo e criar um novo com um fornecedor diferente, como medida de precaução. Mas certifique-se primeiro de que está disponível outro método de login funcional.
- Pense bem onde guardar as credenciais de substituição. O aviso não esclarece se guardar novas credenciais no mSecure é seguro. Para os utilizadores que estão a alternar contas importantes, utilizar um gestor de palavras-passe diferente temporariamente é uma precaução razoável.
Manteremos informados caso tenhamos mais informações sobre este incidente, por isso, fiquem atentos.
Sejamos sinceros, uma janela anónima tem as suas limitações.
Invasões de dados, comércio ilegal na dark web, fraudes com cartões de crédito. Malwarebytes Identity Theft Protection monitoriza tudo isto, alerta-o rapidamente e inclui seguro contra roubo de identidade.
