mSecure alerta hoje sobre ataque e pede troca urgente de senhas

Segurança Digital

mSecure orienta usuários a reforçar proteção após identificar atividade suspeita no aplicativo.

Leia também: EUA exigem proteção a dados na falência da Character.AI hoje

O gerenciador de senhas mSecure enviou nesta terça-feira (3) um e-mail a clientes atuais e antigos alertando sobre uma “atividade suspeita” ligada ao aplicativo e recomendando que os usuários considerem trocar senhas, redefinir a autenticação de dois fatores (2FA) e remover passkeys para proteger dados confidenciais armazenados no serviço.

Alerta pede ação imediata, mas não detalha incidente

No comunicado, assinado pela desenvolvedora mSeven Software, a empresa informa que detectou recentemente a atividade suspeita, mas não explica o que exatamente ocorreu, quais sistemas foram afetados, quando o problema aconteceu ou se já foi totalmente contido. Também não há indicação se dados armazenados pelos usuários chegaram a ser expostos.

O e-mail foi enviado a uma base ampla, que inclui tanto clientes que ainda usam o mSecure quanto ex-usuários. Pelo menos um deles compartilhou o texto na área de suporte do site do aplicativo, onde o conteúdo passou a circular entre usuários em busca de esclarecimentos adicionais.

A mensagem orienta que todos considerem ações de reforço de segurança — troca de senhas, redefinição de 2FA e remoção de passkeys —, mas trata essas medidas como recomendações gerais. Não há indicação de quais contas devem ser priorizadas, nem instruções passo a passo de como proceder, o que deixa parte dos usuários em dúvida sobre por onde começar.

Entenda o contexto

A mSeven afirma, no e-mail, que já iniciou procedimentos internos para apurar o caso. Segundo a empresa, foram adotadas “medidas para limitar o problema” e contratados especialistas externos em cibersegurança para auxiliar na resposta ao incidente. “A empresa afirmou ter iniciado uma investigação interna, tomado medidas para limitar o problema e contratado especialistas externos em cibersegurança para auxiliar no caso”, diz o comunicado.

Até as 18h (UTC), não havia posicionamento público sobre o alerta nas contas oficiais do mSecure em redes sociais, tampouco resposta da equipe da mSeven na discussão aberta no fórum de suporte a partir do e-mail. Essa ausência de manifestação oficial fora da mensagem enviada por correio eletrônico tem ampliado a sensação de incerteza entre usuários, que cobram mais transparência sobre a gravidade e o alcance do problema.

O mSecure funciona como um cofre digital de credenciais e outras informações sensíveis, como logins, números de documentos e dados financeiros. O aplicativo permite sincronizar o cofre pela nuvem própria (mSecure Cloud) ou por serviços de terceiros, como Dropbox e iCloud, além de sincronização local via Wi-Fi. O alerta enviado hoje não esclarece se o risco varia conforme o método de sincronização adotado por cada usuário.

Impacto para usuários e empresas

Na prática, o aviso da mSeven coloca milhões de registros de acesso sob revisão imediata. Usuários domésticos precisam decidir, em curto prazo, que senhas trocar, como reconfigurar códigos de 2FA e o que fazer com passkeys armazenadas no aplicativo. Em ambientes corporativos, especialmente em empresas que centralizam credenciais críticas no mSecure, a recomendação implica trabalho extra para equipes de segurança da informação, que devem revisar políticas, priorizar contas sensíveis e comunicar colaboradores.

Como o e-mail não deixa claro se o problema afeta apenas o acesso à conta mSecure (login no serviço) ou também o conteúdo dos cofres criptografados, muitos clientes ainda não sabem se a principal preocupação deve ser blindar o próprio app ou revisar credenciais de serviços externos — como bancos, e-mails, redes sociais e ferramentas de trabalho que tenham senhas guardadas no mSecure.

A dúvida também se estende ao uso futuro do aplicativo. O comunicado não orienta se os usuários devem seguir utilizando o mSecure para armazenar novas senhas e chaves de acesso ou se seria mais prudente aguardar o fim da investigação antes de fazer mudanças amplas no cofre.

O que se sabe sobre a proteção dos dados

No material enviado aos clientes, a mSeven reforça o modelo de proteção adotado pelo aplicativo. “Os dados do cofre são criptografados no dispositivo do cliente antes da sincronização, e nem mesmo os desenvolvedores têm acesso a essas informações”, afirma a empresa.

Essa arquitetura, baseada em criptografia local, costuma ser apontada como uma camada importante de defesa em gerenciadores de senhas: mesmo que haja problema em servidores ou na infraestrutura de sincronização, o conteúdo do cofre deveria permanecer ilegível sem a chave correta do usuário. O e-mail de hoje, porém, não esclarece se a atividade suspeita chegou a tocar essa camada mais sensível de segurança ou se ficou restrita, por exemplo, a sistemas de autenticação e contas.

Um estudo técnico do Escritório Federal de Segurança da Informação da Alemanha (BSI) chamou atenção para o aplicativo em uma versão anterior do produto. “Em dezembro de 2025, o Escritório Federal de Segurança da Informação da Alemanha (BSI) identificou que a versão 6.1.5 para Android poderia, em tese, permitir acesso aos dados armazenados”, registra o documento. O levantamento menciona apenas aquela versão específica para Android e não indica se conclusões semelhantes valem para edições mais recentes.

Não há, até agora, qualquer informação que conecte diretamente a falha apontada naquele estudo com a atividade suspeita relatada hoje pela mSeven. A empresa também não comenta, no alerta atual, se eventuais vulnerabilidades apontadas no passado foram corrigidas ou se estão entre os pontos revisados na investigação em curso.

Versões recentes do app e próximos passos

No ecossistema Apple, a versão mais recente do mSecure disponível na App Store é a 7.1.0 para iPhone, lançada em 23 de outubro. A mSeven não informou se a atividade suspeita tem relação com essa atualização ou com alguma versão específica em outras plataformas.

O aplicativo oferece recursos como armazenamento de passkeys e códigos de 2FA diretamente no cofre, a partir do plano Essentials. O e-mail, no entanto, não deixa claro se as recomendações de redefinir autenticação em duas etapas e remover passkeys se referem apenas a esses itens guardados dentro do mSecure, às credenciais de login na própria conta do serviço ou a ambos os casos.

Com a investigação interna em andamento e o suporte de especialistas externos, a expectativa é que a mSeven publique, em algum momento, um comunicado mais detalhado, esclarecendo se houve ou não acesso indevido a dados, o que foi exatamente identificado como “atividade suspeita” e quais medidas adicionais serão adotadas. Até lá, especialistas em segurança da informação tendem a recomendar uma revisão criteriosa das credenciais mais sensíveis, priorizando contas de e-mail principal, serviços bancários e acessos corporativos vinculados ao mSecure.