mSecure meldt diefstal van een versleutelde databasekopie

mSeven meldt dat een aanvaller op 3 november een versleutelde kopie van een database met gebruikersinformatie heeft verkregen en adviseert mSecure Cloud-gebruikers wachtwoorden te wijzigen, MFA opnieuw in te stellen en passkeys te vervangen.

Een Nederlandse onderneming met een gedeelde kluis kan mailboxen, beheeraccounts, inlogcodes en passkeys bij elkaar brengen. De eerste taak is vaststellen welke medewerkers mSecure Cloud synchroniseerden en welke accounts in hun kluizen staan. Daarna moeten wachtwoorden en authenticatiemiddelen bij de betreffende diensten zelf worden vervangen. De app verwijderen maakt een kopie die al is buitgemaakt niet ongedaan.

De eerste mail laat vragen open

De mail van 3 november, verstuurd aan huidige en voormalige klanten, noemt verdachte activiteit en adviseert wachtwoorden te wijzigen, tweestapsverificatie opnieuw in te stellen en passkeys te verwijderen. mSeven schrijft ook dat het onderzoek is gestart en externe experts zijn ingeschakeld. De mail zegt niet dat een database is buitgemaakt.

Een later supportantwoord, integraal gedeeld door een klant op het officiële mSecure-forum, zegt dat de database gegevens van huidige en voormalige gebruikers bevatte. Volgens die reactie zouden alleen mensen die met mSecure Cloud synchroniseerden zijn geraakt; mSeven zegt geen bewijs te hebben dat de aanvaller de vertrouwelijke inhoud heeft ingezien. Het verwijderen van de app verandert de situatie volgens hetzelfde antwoord niet.

De eerste mail noemde geen getroffen systemen of aantallen, schrijft BleepingComputer. De redactie vroeg mSeven naar de aanval en de omvang, maar had bij publicatie geen antwoord. De Cloud-grens komt dus uit een later gedeeld supportantwoord.

AES-256 beantwoordt niet elke vraag

mSecure noemt op zijn productpagina AES-256 en een zero-knowledge-architectuur. Het bedrijf zegt dat de servers het accountwachtwoord en de accountsleutel niet bewaren. De app ondersteunt ook passkeys en eenmalige wachtwoorden voor tweestapsverificatie. Dat beschrijft de beoogde beveiliging, maar niet welke gegevens in de buitgemaakte kopie zaten of wat de aanvaller ermee kon doen.

De melding zegt dat de database versleuteld was en dat mSeven geen bewijs heeft dat de inhoud is ingezien. Dat bevestigt niet dat de kluisinhoud onaangeroerd bleef. De productpagina noemt niet welke instellingen een gestolen kopie beschermen tegen offline raden. Zonder die gegevens is de kans op offline raden niet te beoordelen.

Na de diefstal van LastPass-back-ups in 2022 waarschuwde het bedrijf dat aanvallers zwakke hoofdwachtwoorden offline konden proberen te raden. In dezelfde melding noemde LastPass een minimum van twaalf tekens en 100.100 iteraties van PBKDF2 als standaard. Die herhalingen maken elke gok op het hoofdwachtwoord rekenintensiever.

Een gerechtelijk stuk uit 2025 zegt dat de FBI en Secret Service een cryptodiefstal van 150 miljoen dollar aan een LastPass-hack koppelden. LastPass zei dat het geen sluitend bewijs voor dat verband had gezien. De zaak draaide om versleutelde LastPass-kluizen die in 2022 waren buitgemaakt. De vergelijking bewijst niets over mSecure, maar laat zien waarom een gestolen kopie ook na het incident aandacht kan vragen.

Vervang toegang bij de betreffende dienst

In het supportantwoord noemt mSeven het mSecure-hoofdwachtwoord, belangrijke opgeslagen wachtwoorden, tweestapsverificatie en passkeys. Een bedrijf moet eerst de toegang tot mSecure aanpassen en daarna wachtwoorden bij de betrokken diensten vervangen. Begin bij zakelijke e-mail, domein- en cloudbeheer en financiële accounts.

Stonden eenmalige codes in mSecure, stel tweestapsverificatie opnieuw in bij de dienst die de code gebruikt. Alleen het wachtwoord wijzigen vervangt die codegenerator niet. Vervang opgeslagen passkeys bij de betreffende dienst door een nieuwe registratie. Een item uit de mSecure-app verwijderen trekt de bestaande toegang niet in.

De cybersecurity-basischeck die credentials en toegang als eerste laag behandelt binnen vijf beveiligingslagen geeft een vertrekpunt voor de inventaris. Breng ook in kaart wie een geheim in de gedeelde kluis kent. Het toegangsintrekkingsdraaiboek zegt dat gedeelde wachtwoorden moeten worden vervangen, ook nadat accounts zijn geblokkeerd. Zo blijft een oud wachtwoord niet bruikbaar voor vertrokken gebruikers.

De supportreactie beperkt de melding tot Cloud-sync

De gedeelde reactie noemt mSecure Cloud-synchronisatie als scope, maar geen aantal gebruikers of kluizen. Ook ontbreken de aanvalsroute, de exacte databasevelden en de instellingen voor de versleuteling. BleepingComputer kreeg geen antwoord op vervolgvragen; de eerste mail gaf geen details.

Teams moeten nu vaststellen wie cloud-synchronisatie gebruikte en welke werkaccounts in hun kluizen staan. De gedeelde reactie bespreekt lokale of andere synchronisatie niet; dat bevestigt niet dat die routes zijn onderzocht.

Voor een bedrijf biedt de supportreactie een eerste selectie: accounts die mSecure Cloud gebruikten. Hoeveel er bij die accounts vervangen moet worden, hangt af van de velden in de kopie en de instellingen waarmee die is versleuteld. mSeven heeft die details nog niet gedeeld.