mSeven Software ha emitido una notificación de seguridad en la que advierte a los clientes actuales y anteriores del gestor de contraseñas mSecure que deben cambiar sus contraseñas, restablecer la autenticación de dos factores y eliminar las passkeys como medida de precaución tras un ciberataque. Según la información difundida, un atacante habría sustraído una base de datos cifrada de clientes.
En el aviso enviado el 3 de noviembre y compartido con BleepingComputer, la compañía explicó que recientemente detectó actividad sospechosa relacionada con la aplicación de gestión de contraseñas mSecure. La empresa indicó que puso en marcha una investigación, adoptó medidas para mitigar el problema y contrató a expertos externos en ciberseguridad para colaborar. La notificación no precisó qué sistemas se vieron comprometidos, si se robaron datos de clientes ni cuántos usuarios resultaron afectados.
Pese a la falta de detalles, mSeven instó a todos los clientes actuales y anteriores a proteger de inmediato la información confidencial almacenada en el gestor de contraseñas. Entre las recomendaciones figuran cambiar las contraseñas, restablecer o volver a inscribir los métodos de autenticación de dos factores y eliminar las passkeys existentes.
Arquitectura de seguridad y confusión entre los clientes
mSecure es un gestor de contraseñas que permite a los usuarios almacenar contraseñas, passkeys, información financiera y otros datos sensibles en bóvedas cifradas que pueden sincronizarse entre dispositivos. Según la documentación de seguridad de mSeven, mSecure emplea cifrado AES-256 y una arquitectura de conocimiento cero que cifra los datos localmente en los dispositivos de los usuarios antes de transmitirlos a los servidores de la compañía. La empresa sostiene que no puede acceder al contenido descifrado de las bóvedas de los clientes.
Estas protecciones de seguridad han generado confusión entre los clientes, que se preguntan por qué se les aconseja cambiar todas sus contraseñas y métodos de autenticación si sus datos estaban cifrados antes de subirse a los servidores de la empresa.
Base de datos cifrada presuntamente robada
Aunque la notificación original tenía pocos detalles, los clientes han compartido respuestas que supuestamente recibieron del equipo de soporte de mSeven, en las que se indica que un atacante robó una base de datos cifrada de mSecure Cloud. En una publicación en un foro de soporte, un cliente compartió una respuesta que afirmaba que la base de datos robada contenía información de usuarios actuales y anteriores de mSecure. Según esa respuesta, mSeven descubrió el robo y posteriormente notificó a los clientes.
La respuesta también señalaba que la empresa no tenía evidencia de que el atacante hubiera accedido a la información confidencial almacenada dentro de la base de datos cifrada. "Tenga en cuenta que este problema solo afecta a los usuarios que estaban sincronizando con mSecure Cloud", se lee en la respuesta compartida por el cliente. Al parecer, la compañía también dijo que había implementado medidas de seguridad adicionales y que no tenía evidencia de que la aplicación mSecure no fuera segura en ese momento.
Otros clientes informaron haber recibido explicaciones similares, incluida la confirmación de que el incidente se limitaba a los usuarios que sincronizaban sus bases de datos de contraseñas a través de mSecure Cloud. Sin embargo, los clientes han expresado su frustración por la falta de transparencia de la empresa sobre la brecha y los riesgos potenciales para sus credenciales almacenadas, especialmente porque mSeven no ha explicado públicamente cómo ocurrió la brecha.
Riesgos de las bóvedas robadas
Si bien mSeven supuestamente no tiene evidencia de que los atacantes accedieran a la información cifrada, las bóvedas de contraseñas robadas aún pueden plantear riesgos significativos si los atacantes logran descifrar contraseñas maestras débiles mediante ataques sin conexión. Esto quedó demostrado en la brecha de LastPass en 2022, cuando los atacantes robaron copias de seguridad que contenían bóvedas de contraseñas cifradas. Investigadores vincularon posteriormente la brecha con robos de criptomonedas en los que se cree que los atacantes descifraron contraseñas maestras débiles para acceder a credenciales almacenadas, claves privadas y frases de recuperación.
BleepingComputer se puso en contacto con mSeven Software para formular preguntas sobre el incidente, la base de datos robada y el posible impacto en los clientes, pero aún no ha recibido respuesta.
Deja una respuesta