「mSecure」が不審な活動を確認、利用者に認証情報の変更を推奨

「mSecure」が不審な活動を確認、利用者に認証情報の変更を推奨

パスワード管理アプリ「mSecure」を開発するmSeven Softwareは11月3日、現在および過去の利用者にメールを送り、アプリに関連する不審な活動を確認したとして、保存された機密情報を保護するための対応を求めた。具体的には、パスワードの変更、二段階認証手段のリセットまたは再登録、既存のパスキーの削除などを推奨している。同社は調査と影響を抑えるための措置を開始し、外部のサイバーセキュリティ専門家も調査に加わっていると説明した。ただし、保存データが実際に漏えいしたかどうかは明らかにしていない。

mSeven Softwareは、不審な活動の具体的な内容や発生時期、影響を受けたシステムについて説明していない。顧客データや暗号鍵への不正アクセスがあったのか、何人の利用者に通知したのかも公表していない。また、変更を求めている二段階認証手段やパスキーが、保管庫に保存された各サービスの認証情報を指すのか、mSecureアカウント自体の認証手段を指すのかも不明だ。

利用者にとっては、どのアカウントから対応すべきか、変更後のパスワードを引き続きmSecureに保存してよいのかといった点も明確になっていない。mSecure 7では、Essentialsプラン以上の利用者が、パスワードに加えてパスキーや二段階認証コードを保管庫に保存できる。今回の勧告が保管庫内の認証情報全体を対象としている場合、各サービスのパスワード変更だけでなく、認証手段の再登録も必要になる可能性がある。実際にサポートフォーラムでは、数百件の認証情報を保存している利用者から、すべてのアカウントで対応が必要なのか説明を求める声が上がっている。

mSecureは、保管庫内のデータは同期前に利用者の端末上で暗号化されるため、開発元であっても内容にアクセスできないと説明している。利用者は、mSecure Cloud、Dropbox、iCloud、Wi-Fiなどを通じて保管庫を同期できる。しかし、今回の通知メールでは、利用している同期方法によって影響の有無や範囲が異なるのかについても説明されていない。

一方、ドイツ連邦情報セキュリティ庁（BSI）は2025年12月に公表した調査で、Android版「mSecure 6.1.5」について、保存されたデータに開発元が理論上アクセスできる可能性を指摘していた。ただし、この調査は特定のバージョンを対象としたものであり、その後のバージョンにも同じ結果が当てはまるかどうかは確認されていない。また、この指摘と今回の不審な活動との関連性を示す情報も公表されていない。

現時点で公開されている情報だけでは、不審な活動がどのような経路で発生したのか、保管庫や保存された認証情報へのアクセスがあったのか、実際にデータが漏えいしたのかは判断できない。11月3日18時（UTC）時点では、mSecureの公式XおよびFacebookアカウントに今回の通知メールに関する告知は掲載されておらず、サポートフォーラムに寄せられた質問にも、同社の従業員からの回答は確認されていなかった。