Para pengguna aplikasi pengelola kata sandi mSecure kini diminta untuk segera mengambil tindakan guna mengamankan data rahasia yang tersimpan di dalamnya. Langkah mitigasi tersebut mencakup pergantian kata sandi, pengaturan ulang autentikasi dua faktor (2FA), hingga penghapusan passkey.
Peringatan keamanan ini disampaikan melalui pesan email yang dikirimkan pada 3 November atas nama pengembang aplikasi, mSeven Software. Surel itu menyebutkan pihak perusahaan baru saja mengetahui adanya aktivitas mencurigakan terkait aplikasi tersebut, namun tidak membeberkan secara jelas insiden yang terjadi maupun kepastian apakah data pengguna telah bocor.
Surat elektronik tersebut ditujukan bagi pelanggan aktif maupun mantan pengguna mSecure. Salah seorang pengguna yang menerima peringatan tersebut mengunggah isi pesan ke forum dukungan mSecure pada tanggal 3 November.
Hingga pukul 18:00 UTC pada 3 November, pihak mSeven belum mempublikasikan informasi apa pun mengenai email itu di akun X maupun Facebook mSecure. Belum ada satu pun staf pengembang yang memberikan respons pada utas forum tersebut.
Surel itu menjelaskan bahwa mSeven telah memulai penyelidikan, menjalankan sejumlah prosedur untuk menekan masalah, serta menggandeng para pakar keamanan siber eksternal. Namun, pesan tidak merinci sistem mana saja yang terkena dampak, waktu berlangsungnya aktivitas mencurigakan, apakah situasi sudah terkendali sepenuhnya, ataupun total pelanggan yang menerima surel itu.
Aplikasi mSecure menyediakan sinkronisasi brankas data melalui layanan mSecure Cloud, Dropbox, iCloud, maupun jaringan Wi-Fi. Penjelasan di email tidak menyebutkan apakah jenis metode sinkronisasi yang dipilih konsumen turut berpengaruh.
Versi mSecure 7 mampu menampung passkey dan kode 2FA di dalam brankas bersama kata sandi, khusus paket Essentials ke atas. Imbauan di surel difokuskan pada pengamanan data yang ada di mSecure, tanpa menegaskan apakah arahan 2FA serta passkey mencakup data tersimpan, akses masuk akun mSecure itu sendiri, atau keduanya.
Pihak mSecure menyatakan brankas data telah terenkripsi di perangkat pelanggan sebelum proses sinkronisasi berjalan, sehingga pengembang sendiri tidak bisa mengakses data pengguna.
Akan tetapi, pada mSecure 6.1.5 untuk Android, mSeven secara teori berpeluang mengakses data tersimpan menurut temuan Kantor Federal Keamanan Informasi Jerman (BSI) dalam kajian Desember 2025. BSI hanya menguji rilis itu saja, dan hasilnya dapat berubah pada pembaruan terkini.
Pesan surel tidak memaparkan apakah aktivitas mencurigakan telah menyentuh brankas data atau kunci enkripsi pelindungnya.
Langkah Tindakan yang Diimbau dalam Email
Surel tersebut menawarkan langkah-langkah pencegahan sebagai opsi tanpa merinci akun mana yang wajib diutamakan atau panduan teknis pelaksanaannya. Surel itu juga tidak menjelaskan apakah pelanggan boleh terus memakai mSecure, termasuk untuk menyimpan sandi baru mereka.
Per 18:00 UTC tanggal 3 November, pembaruan aplikasi mSecure versi iPhone paling mutakhir di App Store Apple yaitu 7.1.0, yang dirilis pada 23 Oktober.
