El desarrollador mSeven Software envió el 3 de noviembre un correo a usuarios actuales y anteriores de la gestor de contraseñas mSecure alertando de «actividad sospechosa» vinculada a la aplicación y ofreciendo una serie de medidas preventivas para proteger la información guardada en las bóvedas.
Qué recomienda mSecure y qué información falta
El mensaje aconseja a los usuarios que consideren cambiar las contraseñas almacenadas, restablecer la autenticación de dos factores (2FA) y eliminar passkeys que tengan guardadas en la app. También indica que la empresa inició una investigación, aplicó medidas para limitar el problema y contrató expertos externos en ciberseguridad.
No obstante, el correo no aclara datos clave: no especifica qué tipo de actividad se detectó, qué sistemas pudieron verse afectados, si los datos de las bóvedas fueron accedidos, cuántas personas recibieron el aviso ni en qué momento ocurrieron los hechos. Tampoco detalla si las recomendaciones aplican al acceso de mSecure en sí (la cuenta del servicio) o solo a los elementos guardados dentro de la bóveda (contraseñas, 2FA y passkeys).
Alcance técnico y sincronización
mSecure permite sincronizar la bóveda mediante mSecure Cloud, Dropbox, iCloud o mediante conexión Wi‑Fi local. El correo no aclara si el riesgo depende del método de sincronización utilizado por cada cliente. La compañía afirma que los datos de la bóveda se cifran en el dispositivo del usuario antes de sincronizarse y que, en teoría, sus desarrolladores no pueden leer esa información.
Sin embargo, en un estudio publicado por la Oficina Federal de Seguridad de la Información de Alemania (BSI) en diciembre de 2025 se detectó que la versión mSecure 6.1.5 para Android permitía, en teoría, a mSeven acceder a datos almacenados. Ese análisis se centró únicamente en esa versión, y la nota de empresa no indica si hallazgos similares podrían aplicarse a versiones más recientes ni si la investigación actual está relacionada con aquel informe.
Qué deben hacer los administradores y propietarios de sitios web
- Seguir las indicaciones de mSecure: cambiar contraseñas almacenadas en la app, restablecer la 2FA y eliminar passkeys si están guardadas en la bóveda.
- Priorizar cuentas críticas: empezar por credenciales con acceso a servicios de correo, paneles de control, hosting, bases de datos y cuentas financieras.
- Verificar métodos de sincronización: si utiliza sincronización en la nube (mSecure Cloud, iCloud, Dropbox), considerar desactivarla temporalmente hasta que la empresa aclare el alcance; en el caso de sincronización por Wi‑Fi, revísela según su procedimiento interno.
- Actualizar la app: comprobar que se ejecuta la versión más reciente disponible en la tienda de aplicaciones y aplicar actualizaciones oficiales de inmediato.
- Evaluar reingreso de credenciales: tras cambiar contraseñas, evitar reutilizar contraseñas antiguas y replantear el uso de passkeys o 2FA almacenados en la misma bóveda si existe incertidumbre sobre su protección.
Comunicación de la empresa y dudas pendientes
Hasta la tarde del 3 de noviembre (18:00 UTC) mSeven no había publicado información adicional en las cuentas públicas de mSecure en redes sociales ni respondido en el hilo del foro donde un cliente compartió el texto del correo. La falta de detalles públicos deja sin esclarecer si la actividad llegó a los datos cifrados de las bóvedas o a las claves que protegen esos datos.
Para administradores y responsables de seguridad, la recomendación práctica es asumir precaución: cambiar credenciales críticas, revisar la configuración de sincronización y seguir de cerca cualquier comunicado oficial de mSeven que aporte detalles técnicos sobre alcance, vectores de acceso y mitigaciones aplicadas.
Lee también:
- Cloudflare lanza Zero Wire: un hub para acelerar la respuesta a vulnerabilidades críticas
- M&A en ciberseguridad: 37 operaciones anunciadas en octubre de 2026 incluyen compras estratégicas de Anthropic, Cohere y Proofpoint
Fuente: The Hacker News
