mSeven advierte a usuarios de mSecure sobre actividad sospechosa y abre investigación

El gestor de contraseñas mSecure informó en un correo enviado el 3 de noviembre a clientes actuales y antiguos que ha detectado "actividad sospechosa" relacionada con su aplicación y recomendó a los usuarios que tomen medidas para proteger los datos que almacenan en sus bóvedas. El mensaje no describe qué ocurrió, no aclara si los datos cifrados se vieron comprometidos y omite detalles operativos clave: no identifica los sistemas afectados, no indica cuándo se produjo la actividad ni cuántas personas recibieron el aviso. La empresa, mSeven Software, dijo haber iniciado una investigación, haber limitado el problema y haber contratado expertos externos, pero, a las 18:00 UTC del 3 de noviembre, aún no había comunicado esta información públicamente en sus cuentas de X o Facebook ni respondido en el hilo del foro donde un cliente publicó el texto del correo.

Hechos confirmados: mSeven envió el aviso a clientes y exempleados el 3 de noviembre; el mensaje recomienda acciones como cambiar contraseñas, restablecer la autenticación de dos factores (2FA) y eliminar passkeys; mSecure ofrece sincronización de la bóveda por mSecure Cloud, Dropbox, iCloud o Wi‑Fi; mSecure 7 puede almacenar passkeys y códigos 2FA dentro de la propia bóveda en planes Essentials o superiores; la versión publicada en la App Store para iPhone más reciente es la 7.1.0 (lanzada el 23 de octubre). Además, un estudio de la Oficina Federal de Seguridad de la Información de Alemania (BSI) encontró en diciembre de 2025 que una versión concreta, mSecure 6.1.5 para Android, permitía en teoría que mSeven accediera a datos almacenados —esa prueba se limitó a esa versión.

Qué significa técnicamente la notificación y por qué importa: los gestores de contraseñas funcionan cifrando la "bóveda" en el dispositivo del usuario con una clave derivada de la contraseña maestra (master password) antes de cualquier sincronización. Si ese modelo se respeta, el operador del servicio no puede leer los datos sin la contraseña maestra o sin acceso a las claves criptográficas del usuario. Sin embargo, existen dos vectores que convertirían la actividad detectada en un riesgo real: 1) si la intrusión alcanzó las claves de cifrado o componentes del servicio que pueden descifrar o reempaquetar la bóveda, y 2) si el software del cliente (la propia app) contiene fallos que permitan a la compañía o a un atacante extraer datos en texto plano en determinados escenarios (el problema que la BSI detectó en 6.1.5 es un ejemplo teórico de este segundo caso). El comunicado de mSeven no aclara si la actividad llegó a datos de bóveda, a las claves que los protegen o solo afectó a sistemas de sincronización y metadatos.

A quién afecta: cualquier persona que use mSecure para almacenar contraseñas, passkeys o códigos 2FA podría verse afectada, pero el nivel de riesgo varía. Los usuarios que guardan passkeys y códigos 2FA dentro de la bóveda (función disponible en mSecure 7 en planes Essentials y superiores) afrontan mayor exposición si la bóveda se ve comprometida. También conviene prestar atención a quienes sincronizan mediante servicios en la nube (mSecure Cloud, Dropbox, iCloud), porque el vector de sincronización influye en el alcance de una brecha. Los usuarios de versiones antiguas, en particular Android 6.1.5 que la BSI analizó, deberían comprobar su versión y actualizar si hay parches disponibles.

Consecuencias reales probables: si la intrusión no alcanzó las claves de cifrado ni la lógica de descifrado de la app, el riesgo concreto de divulgación de contraseñas se mantiene bajo. Si, en cambio, un atacante obtuvo acceso a las claves o aprovechó una vulnerabilidad del cliente que permite extraer datos en claro, entonces cualquier elemento almacenado en la bóveda —contraseñas, passkeys y códigos 2FA— podría estar comprometido. La falta de detalles públicos impide saber si se trata de un incidente menor de infraestructura o de un acceso a datos sensibles; por tanto, la política prudente para cuentas críticas (banco, correo, repositorios de código, gestión de dominio) debe ser asumir riesgo potencial hasta que la empresa confirme lo contrario.

Qué debe hacer el usuario ahora (pasos concretos y prácticos): primero, actúe con urgencia para cuentas de alto valor.

Cambios inmediatos recomendados: cambie la contraseña maestra de mSecure si la aplicación lo permite sin perder acceso a la bóveda; si no está seguro de cómo hacerlo, contacte al soporte de mSeven y siga sus instrucciones verificadas en su web oficial. Rote (cambie) las contraseñas de sus servicios más críticos —correo, banca, administradores de dominio, cloud, repositorios de código— usando un dispositivo y una conexión en los que confíe. En la medida de lo posible, priorice servicios donde una toma de control tendría impacto económico o de identidad.

2FA y passkeys: no asuma que mantener códigos o passkeys en la misma bóveda es seguro hasta que mSeven confirme el alcance. Para cuentas críticas, elimine temporalmente passkeys o códigos TOTP almacenados en mSecure y vuelva a registrarlos exclusivamente desde los gestores o aplicaciones oficiales de los proveedores (o, mejor aún, use llaves físicas de seguridad como FIDO2/YubiKey) para restablecer la confianza. Si un servicio permite revocar sesiones o llaves (tokens OAuth, claves de acceso), hágalo y vuelva a emitir credenciales nuevas.

Sincronización y versiones: desactive temporalmente la sincronización en la nube (mSecure Cloud, Dropbox, iCloud) y limite el uso a sincronización por Wi‑Fi local si necesita acceso entre dispositivos. Compruebe la versión de su app: los usuarios de Android deben contrastar la versión con las observaciones del BSI y actualizar inmediatamente a la versión más reciente del desarrollador. Instale actualizaciones de sistema operativo y de la app desde las tiendas oficiales.

Respaldo y migración: haga un respaldo cifrado de su bóveda si la app lo permite y considere exportar contraseñas críticas para actualizarlas y guardarlas temporalmente en otro gestor de confianza o en un lugar seguro offline mientras la investigación no concluya. Evite introducir nuevas contraseñas en mSecure hasta tener confirmación técnica de que la vulnerabilidad fue cerrada.

Monitoreo y auditoría: active alertas de acceso (donde el servicio lo permita), revise inicios de sesión y sesiones activas, y solicite a sus proveedores críticos revocar sesiones antiguas o redesconectar dispositivos. Mantenga un registro (fechas y acciones) de los cambios realizados para poder revertir si la situación se aclara.

Información aún incierta y señales a vigilar: desconocemos si la intrusión permitió a terceros descifrar bóvedas o si únicamente se trató de actividad anómala en sistemas de soporte. Tampoco hay confirmación sobre si el aviso enviado cubre la cuenta de mSecure (inicio de sesión al servicio) además de los datos almacenados en las bóvedas. La empresa debería publicar un informe técnico con alcance, vectores afectados y mitigaciones; esa publicación es el indicador clave para relajar medidas. Mientras tanto, vigile comunicados oficiales en el sitio de mSecure y en sus canales sociales, y busque actualizaciones de confianza de organismos como la BSI o el centro nacional de ciberseguridad en su país.

Para guía general sobre cómo usar gestores de contraseñas y reducir el riesgo, consulte la documentación del proveedor y recursos independientes como la guía del National Cyber Security Centre del Reino Unido sobre gestores de contraseñas: https://www.ncsc.gov.uk/guidance/password-managers. El sitio oficial de mSecure donde buscar avisos y soporte es https://www.msecure.com/, y para contexto sobre análisis de software y estudios gubernamentales puede consultarse la web del BSI: https://www.bsi.bund.de/EN/.

Conclusión: la alerta de mSeven obliga a actuar con cautela y a priorizar cuentas críticas. La comunicación pública de la compañía y un informe técnico claro son determinantes para definir el alcance real del incidente; hasta entonces, la respuesta prudente es asumir riesgo potencial, rotar credenciales sensibles, separar elementos de autenticación fuera de la bóveda cuando sea posible y monitorizar activamente cualquier actividad sospechosa.