Para pengguna aplikasi pengelola kata sandi mSecure kini diminta segera bertindak demi mengamankan data rahasia mereka, termasuk opsi memperbarui kata sandi, mereset autentikasi dua faktor (2FA), serta menghapus passkey.
Pemberitahuan darurat tersebut dikirimkan via surel bertanggal 3 November atas nama pihak pengembang, mSeven Software. Perusahaan menyatakan baru saja mendeteksi adanya aktivitas mencurigakan yang terkait dengan aplikasi, meski tidak merinci bentuk insidennya atau memastikan apakah data pengguna telah bocor.
Pesan elektronik itu ditujukan kepada seluruh pelanggan aktif maupun mantan pengguna mSecure. Salah seorang pengguna yang menerima peringatan tersebut kemudian membagikan salinannya pada sebuah utas di forum bantuan resmi mSecure pada 3 November.
Hingga pukul 18.00 UTC pada 3 November, pihak mSeven sama sekali belum merilis pernyataan terkait surel itu pada akun resmi X dan Facebook milik mSecure. Tidak ada satu pun staf resmi yang memberikan tanggapan di utas forum tersebut.
Berdasarkan surel, pihak mSeven telah memulai penyelidikan, menjalankan langkah-langkah pembatasan risiko, dan menggandeng tim pakar keamanan siber eksternal. Namun, perusahaan tidak menyebutkan infrastruktur mana yang terdampak, waktu kejadian, status penyelesaian insiden, maupun total orang yang menerima kiriman surel tersebut.
Layanan mSecure memungkinkan sinkronisasi brankas data melalui mSecure Cloud, Dropbox, iCloud, ataupun jaringan Wi-Fi. Peringatan surel tersebut tidak memaparkan apakah metode sinkronisasi tertentu yang dipilih pengguna berpengaruh terhadap potensi risiko.
Pada versi mSecure 7 paket Essentials ke atas, sistem dapat menyimpan passkey dan kode 2FA di samping kata sandi. Arahan surel berfokus pada pengamanan berkas yang tersimpan. Namun, tidak diterangkan secara rinci apakah anjuran 2FA dan passkey itu mencakup data simpanan, akses masuk akun mSecure itu sendiri, atau keduanya.
Pihak mSecure menyatakan seluruh data brankas dienkripsi langsung pada perangkat pengguna sebelum proses sinkronisasi berjalan, sehingga pengembang sendiri diklaim tidak memiliki akses terhadap informasi pelanggan.
Namun, dalam mSecure 6.1.5 versi Android, pihak mSeven secara teoritis berpotensi mengakses informasi tersimpan menurut Kantor Federal Jerman untuk Keamanan Informasi (BSI) dalam studi edisi Desember 2025. BSI hanya menguji varian tersebut, dan hasil temuan mungkin berbeda pada pembaruan berikutnya.
Surel perusahaan tidak membeberkan apakah pergerakan mencurigakan tersebut berhasil menyentuh data brankas ataupun kunci enkripsi pengamannya.
Tindakan yang Diminta Melalui Surel
Surel itu menyajikan instruksi sebagai opsi tindakan pencegahan, tanpa memprioritaskan akun mana yang wajib diubah lebih dulu atau panduan teknis pelaksanaannya. Surel juga tidak menegaskan apakah pengguna sebaiknya tetap memanfaatkan mSecure untuk menampung kata sandi baru mereka.
Hingga 3 November pukul 18.00 UTC, pembaruan aplikasi mSecure iPhone paling mutakhir di App Store Apple tercatat pada versi 7.1.0, yang diluncurkan sejak 23 Oktober.
