Para pengguna aplikasi pengelola kata sandi mSecure kini diminta untuk segera mengambil tindakan guna mengamankan data rahasia yang tersimpan di dalamnya, termasuk mengganti kata sandi, mengatur ulang autentikasi dua faktor (2FA), serta mencabut kunci sandi (passkeys).
Peringatan keamanan tersebut disampaikan melalui sebuah surat elektronik resmi yang dikirimkan pada tanggal 3 November atas nama pihak pengembang, mSeven Software. Pemberitahuan itu menyatakan bahwa perusahaan baru saja mendeteksi adanya aktivitas mencurigakan yang berkaitan dengan aplikasi tersebut, namun tidak merinci insiden spesifik apa yang sebenarnya terjadi atau apakah data pengguna yang tersimpan telah bocor ke pihak luar.
Dalam pesan tersebut, dijelaskan bahwa pengumuman dikirimkan kepada pelanggan mSecure yang masih aktif maupun mantan pengguna. Salah seorang pelanggan yang memperoleh email tersebut kemudian membagikan salinan teksnya ke sebuah utas di forum bantuan resmi mSecure pada tanggal 3 November.
Hingga batas waktu 18.00 UTC pada 3 November, pihak mSeven belum merilis pernyataan atau keterangan apa pun terkait pesan peringatan tersebut di akun media sosial X dan Facebook resmi mSecure. Selain itu, belum ada satu pun staf pengembang yang memberikan tanggapan di dalam utas forum bantuan tersebut.
Email itu memaparkan bahwa mSeven telah memulai proses penyelidikan internal, menjalankan serangkaian tindakan mitigasi untuk membatasi dampak masalah, serta menggandeng para pakar keamanan siber eksternal. Kendati demikian, pesan itu tidak menyebutkan infrastruktur sistem mana saja yang terdampak, waktu pasti terjadinya insiden, apakah gangguan tersebut sudah sepenuhnya dihentikan, maupun total jumlah individu yang menerima peringatan tersebut.
Aplikasi mSecure sendiri memiliki kapabilitas sinkronisasi brankas data melalui mSecure Cloud, Dropbox, iCloud, ataupun jaringan Wi-Fi. Surat peringatan tersebut sama sekali tidak menerangkan apakah metode sinkronisasi tertentu yang dipilih pelanggan memengaruhi tingkat risiko.
Pada versi mSecure 7, layanan ini sanggup menyimpan passkeys dan kode 2FA di dalam brankas bersama kata sandi reguler, khusus bagi paket Essentials ke atas. Instruksi dalam email tersebut difokuskan pada upaya mengamankan data yang berada di mSecure. Kendati demikian, pesan tidak menjelaskan apakah instruksi 2FA dan passkey itu mencakup kredensial yang tersimpan di dalam brankas, akses login akun mSecure itu sendiri, atau keduanya.
Pihak mSecure selama ini menegaskan bahwa data brankas selalu dienkripsi langsung pada perangkat pengguna sebelum proses sinkronisasi berjalan, sehingga staf pengembang pun diklaim tidak memiliki akses ke data tersebut.
Namun, pada mSecure versi 6.1.5 untuk sistem operasi Android, mSeven secara teori sempat berpotensi mengakses data yang tersimpan, berdasarkan laporan riset Kantor Federal Jerman untuk Keamanan Informasi (BSI) yang dirilis pada Desember 2025. Pengujian BSI tersebut hanya dilakukan terhadap versi spesifik itu, dan kondisinya bisa saja berubah seiring pembaruan perangkat lunak berikutnya.
Email peringatan tidak merinci apakah aktivitas mencurigakan tersebut telah menjangkau data brankas pengguna atau kunci pengaman yang melindunginya.
Langkah yang Diminta Melalui Email
Surat tersebut menyajikan langkah pengamanan sebagai anjuran opsional, tanpa menentukan akun mana yang mesti didahulukan atau rincian tata cara menjalankannya. Surel itu juga tidak menjelaskan apakah para pengguna sebaiknya tetap memanfaatkan mSecure, termasuk untuk menyimpan kata sandi baru mereka.
Tercatat hingga pukul 18.00 UTC pada 3 November, rilis mSecure paling mutakhir untuk iPhone di Apple App Store adalah versi 7.1.0 yang dipublikasikan pada 23 Oktober.