mSecure recomenda troca de senhas e redefinição da autenticação em dois fatores após alerta de segurança
A mSeven Software, responsável pelo gerenciador de senhas mSecure, comunicou em 3 de novembro que usuários atuais e antigos deveriam reforçar a proteção de suas contas. A empresa orientou a alteração de senhas, a redefinição da autenticação de dois fatores (2FA) e a exclusão das passkeys salvas no aplicativo.
O aviso foi emitido após a identificação de atividades consideradas suspeitas relacionadas ao serviço. A desenvolvedora, porém, não detalhou o que ocorreu nem confirmou se dados confidenciais foram acessados ou expostos. Também não divulgou quais sistemas podem ter sido afetados, em que período a atividade aconteceu ou quantos clientes receberam a notificação.
Segundo a mSeven, uma investigação foi iniciada e medidas de contenção foram adotadas. A companhia também contratou especialistas externos em segurança cibernética para auxiliar na análise. Até o momento do comunicado, não havia informações públicas sobre a causa do episódio, sua extensão ou se a atividade suspeita havia sido interrompida.
O mSecure permite sincronizar cofres de senhas por diferentes meios, entre eles o serviço próprio mSecure Cloud, Dropbox, iCloud e conexões Wi-Fi. A empresa não esclareceu se a opção de sincronização usada pelo cliente altera o nível de risco ou se alguma dessas modalidades está relacionada ao alerta.
Na versão 7, o aplicativo também pode guardar passkeys e códigos de autenticação de dois fatores junto às senhas. Esses recursos estão disponíveis a partir do plano Essentials. Ainda não foi especificado se a recomendação de redefinir o 2FA se refere apenas aos códigos armazenados no aplicativo, às configurações de acesso da conta mSecure ou a ambos.
A documentação da empresa afirma que os dados dos cofres são criptografados no próprio dispositivo antes de serem sincronizados. De acordo com essa descrição, nem mesmo funcionários da mSeven poderiam consultar o conteúdo armazenado. Essa afirmação, contudo, não esclarece se o incidente envolveu contas, dispositivos, sistemas internos ou informações criptografadas.
Há também uma avaliação anterior que merece contexto. Um estudo publicado em dezembro de 2025 pelo Escritório Federal de Segurança da Informação da Alemanha apontou que, teoricamente, a desenvolvedora poderia acessar dados armazenados na versão 6.1.5 do mSecure para Android. A análise se restringiu àquela versão; portanto, não permite concluir que o mesmo comportamento exista em versões posteriores. Tampouco comprova que os cofres tenham sido atingidos no episódio atual.
Até agora, não há confirmação de comprometimento dos cofres de senhas ou das chaves criptográficas usadas para protegê-los. A falta de detalhes, porém, torna difícil avaliar precisamente o risco. A empresa também não indicou quais credenciais devem ser trocadas primeiro, não publicou instruções específicas para cada procedimento e não esclareceu se os clientes devem continuar usando o mSecure para armazenar novas senhas.
O que os usuários podem fazer agora
Quem recebeu o alerta deve começar protegendo o acesso ao próprio mSecure. Se a senha da conta também for utilizada em outros serviços, ela deve ser substituída nesses locais por senhas diferentes. Reutilizar uma mesma credencial aumenta o impacto de uma eventual exposição, pois permite que ela seja testada em várias contas.
Em seguida, é prudente atualizar as senhas dos serviços mais importantes: e-mail principal, banco, armazenamento em nuvem e contas profissionais. O e-mail merece prioridade especial, já que costuma ser usado para redefinir o acesso a outros serviços. Sempre que possível, cada conta deve ter uma senha longa e exclusiva.
A autenticação em dois fatores também deve ser revisada. Se os códigos temporários estavam guardados no mSecure, o usuário pode precisar configurar novamente o 2FA em cada serviço, seguindo o procedimento oferecido por ele. Antes de remover um método de autenticação, é importante garantir que exista uma alternativa funcional e guardar os códigos de recuperação em local seguro, para evitar perder o acesso.
As passkeys salvas no aplicativo devem ser tratadas conforme a orientação da desenvolvedora. Como o comunicado não detalha o processo, convém verificar se cada serviço permite revogar a passkey antiga e registrar uma nova. Uma passkey não é uma senha convencional, e sua substituição depende dos recursos disponibilizados pela plataforma em que foi cadastrada.
Também é recomendável conferir as sessões ativas e os dispositivos conectados às contas mais sensíveis. Encerrar acessos desconhecidos, ativar notificações de login e verificar mensagens recentes de redefinição de senha são medidas úteis enquanto a investigação continua. Esses cuidados não provam que houve invasão, mas ajudam a identificar sinais de uso indevido.
Por fim, usuários devem manter o aplicativo atualizado e acompanhar novos comunicados da mSeven. Como as informações divulgadas ainda deixam dúvidas sobre o alcance do incidente, decisões sobre a continuidade do uso do gerenciador devem considerar as orientações oficiais posteriores e a capacidade de manter cópias de recuperação das credenciais em segurança. Até que haja esclarecimentos adicionais, evitar reutilizar senhas e reforçar a proteção das contas essenciais são providências importantes.