mSeven adverte usuários de mSecure sobre atividade suspeita e abre pesquisa

O gestor de senhas mSecure informou em um e-mail enviado em 3 de novembro a clientes atuais e antigos que detectou "atividade suspeita" relacionada com sua aplicação e recomendou aos usuários que tomem medidas para proteger os dados que armazenam em suas bóvedas. A mensagem não descreve o que aconteceu, não esclarece se os dados encriptados foram comprometidos e omite detalhes operacionais-chave: não identifica os sistemas afetados, não indica quando a atividade ocorreu ou quantas pessoas receberam o aviso. A empresa, mSeven Software, disse ter iniciado uma pesquisa, ter limitado o problema e contratado especialistas externos, mas, às 18h00 UTC de 3 de novembro, ainda não havia comunicado essa informação publicamente em suas contas de X ou Facebook nem respondido no tópico do fórum onde um cliente publicou o texto do correio.

Atos confirmados: mSeven enviou o aviso a clientes e ex-empregados em 3 de novembro; a mensagem recomenda ações como mudar senhas, restaurar a autenticação de dois fatores (2FA) e remover passkeys; mSecure oferece sincronização da bóveda por mSecure Cloud, Dropbox, iCloud ou Wi-Fi; mSecure 7 pode armazenar passkeys e códigos 2FA dentro da própria bóveda em planos Essentials ou superiores; a versão publicada na App Store para iPhone mais recente é a 7.1.0 (lanzada em 23 de outubro). Além disso, um estudo do Escritório Federal de Segurança da Informação da Alemanha (BSI) encontrou em dezembro de 2025 que uma versão concreta, mSecure 6.1.5 para Android, permitia em teoria que mSeven acessasse dados armazenados — esse teste limitou-se a essa versão.

O que significa tecnicamente a notificação e por que importa: os gestores de senhas funcionam cifrando a "bóbada" no dispositivo do usuário com uma chave derivada da senha-prima (master password) antes de qualquer sincronização. Se esse modelo for respeitado, o operador do serviço não consegue ler os dados sem a senha-prima ou sem acesso às chaves criptográficas do utilizador. No entanto, existem dois vetores que converteriam a atividade detectada num risco real: 1) se a intrusão atingiu as chaves de cifra ou componentes do serviço que podem decifrar ou reempaquetar a bóveda, e 2) se o software do cliente (a própria app) contém falhas que permitam à empresa ou a um atacante extrair dados em texto plano em determinados cenários (o problema que a BSI detectou em 6.1.5 é um exemplo teórico deste segundo caso). O comunicado de mSeven não esclarece se a atividade chegou a dados de bóveda, às chaves que os protegem ou apenas afetou sistemas de sincronização e metadados.

Quem afecta: qualquer pessoa que use mSecure para armazenar senhas, passkeys ou códigos 2FA pode ser afetada, mas o nível de risco varia. Os usuários que guardam passkeys e códigos 2FA dentro da bóveda (função disponível em mSecure 7 em planos Essentials e superiores) enfrentam maior exposição se a bóveda for comprometida. Também é preciso prestar atenção a quem sincroniza por serviços em nuvem (mSecure Cloud, Dropbox, iCloud), porque o vetor de sincronização influencia o alcance de uma brecha. Os usuários de versões antigas, em particular Android 6.1.5 que a BSI analisou, devem verificar sua versão e atualizar se existem adesivos disponíveis.

Consequências reais prováveis: se a intrusão não atingiu as chaves de cifra ou a lógica de decifração da app, o risco concreto de divulgação de senhas se mantém baixo. Se, em vez disso, um atacante obteve acesso às chaves ou aproveitou uma vulnerabilidade do cliente que permite extrair dados em claro, então qualquer elemento armazenado na bóveda —contrasenhas, passkeys e códigos 2FA— poderia estar comprometido. A falta de detalhes públicos impede de saber se se trata de um incidente menor de infraestrutura ou de acesso a dados sensíveis; portanto, a política prudente para contas críticas (banco, correio, repositórios de código, gestão de domínio) deve ser assumir risco potencial até que a empresa confirme o contrário.

O que o utilizador deve fazer agora (passos concretos e práticos): primeiro, actue com urgência para contas de alto valor.

Alterações imediatas recomendadas: altere a senha-prima de mSecure se a aplicação o permitir sem perder acesso à bóveda; se não tiver a certeza de como fazê-lo, contacte o suporte de mSeven e siga as instruções verificadas no seu site oficial. Rote (cambie) as senhas dos seus serviços mais críticos —correo, banca, administradores de domínio, nuvem, repositórios de código — usando um dispositivo e uma conexão em que confie. Na medida do possível, priorize serviços onde uma tomada de controle teria impacto econômico ou de identidade.

2FA e passkeys: não assuma que manter códigos ou passkeys na mesma bóveda é seguro até que mSeven confirme o alcance. Para contas críticas, remova temporariamente passkeys ou códigos TOTP armazenados em mSecure e registe-os exclusivamente dos gestores ou aplicativos oficiais dos fornecedores (ou, melhor ainda, use chaves físicas de segurança como FIDO2/YubiKey) para restaurar a confiança. Se um serviço permite revogar sessões ou chaves (tokens OAuth, chaves de acesso), faça-o e volte a emitir novas credenciais.

Sincronização e versões: desactive temporariamente a sincronização na nuvem (mSecure Cloud, Dropbox, iCloud) e limite o uso a sincronização por Wi-Fi local se precisar de acesso entre dispositivos. Verifique a versão do seu app: os usuários do Android devem contrastar a versão com as observações do BSI e atualizar imediatamente a versão mais recente do desenvolvedor. Instale actualizações do sistema operacional e da app a partir das lojas oficiais.

Respaldo e migração: faça um backup criptografado de sua bóveda se a app o permitir e considere exportar senhas críticas para atualizar e mantê-las temporariamente em outro gestor de confiança ou em um lugar seguro offline enquanto a pesquisa não terminar. Evite introduzir novas senhas em mSecure até ter confirmação técnica de que a vulnerabilidade foi fechada.

Monitoramento e auditoria: active alertas de acesso (onde o serviço o permita), verifique logins e sessões ativas, e solicite aos seus fornecedores críticos revogar sessões antigas ou redesconectar dispositivos. Mantenha um registo (fechas e ações) das mudanças feitas para poder reverter se a situação for esclarecida.

Informações ainda incertas e sinais a vigiar: desconhecemos se a intrusão permitiu a terceiros decifrar bóbadas ou se apenas se tratou de atividade anómala em sistemas de suporte. Também não há confirmação sobre se o aviso enviado cobre a conta de mSecure (início de sessão ao serviço) além dos dados armazenados nas bóvedas. A empresa deve publicar um relatório técnico com alcance, vectores afectados e mitigações; essa publicação é o indicador chave para relaxar medidas. Enquanto isso, vigile comunicados oficiais no site de mSecure e em seus canais sociais, e procure atualizações de confiança de organismos como a BSI ou o centro nacional de cibersegurança em seu país.

Para guia geral sobre como usar gestores de senhas e reduzir o risco, consulte a documentação do fornecedor e recursos independentes como o guia do National Cyber Security Centre do Reino Unido sobre gestores de senhas: https://www.ncsc.gov.uk/guidance/password-managers. O site oficial de mSecure onde procurar avisos e suporte é https://www.msecure.com/, e para contexto sobre análise de software e estudos governamentais, consultar a web do BSI: https://www.bsi.bund.de/EN/.

Conclusão: o alerta de mSeven obriga a agir com cautela e a priorizar contas críticas. A comunicação pública da empresa e um relatório técnico claro são determinantes para definir o alcance real do incidente; até então, a resposta prudente é assumir risco potencial, rotar credenciais sensíveis, separar elementos de autenticação fora da bóveda quando possível e monitorar ativamente qualquer atividade suspeita.