Para pengguna aplikasi pengelola kata sandi mSecure kini diminta untuk segera mengambil tindakan pencegahan demi mengamankan data rahasia mereka, termasuk opsi memperbarui kata sandi, mengatur ulang autentikasi dua faktor (2FA), serta menghapus passkey.
Peringatan keamanan tersebut disampaikan lewat surat elektronik pada 3 November dari pihak pengembang, mSeven Software. Pemberitahuan itu menyatakan bahwa perusahaan baru saja mendeteksi adanya aktivitas mencurigakan terkait aplikasi mereka, namun belum merinci bentuk insiden maupun kepastian apakah data tersimpan milik konsumen telah bocor.
Surel tersebut dilaporkan menyasar para pengguna mSecure yang masih aktif maupun mantan pengguna. Salah seorang pelanggan yang menerimanya kemudian membagikan salinan teks tersebut ke dalam utas diskusi pada forum bantuan resmi mSecure di hari yang sama, 3 November.
Hingga pukul 18.00 UTC pada 3 November, pihak mSeven belum merilis informasi apa pun mengenai email tersebut di akun resmi X dan Facebook milik mSecure. Belum ada pula staf resmi perusahaan yang memberikan respons pada utas forum tersebut.
Menurut isi email, mSeven telah meluncurkan investigasi menyeluruh, mengambil sejumlah tindakan guna membendung masalah, serta melibatkan pakar keamanan siber eksternal. Namun, surat itu tidak mengungkap sistem mana saja yang terimbas, waktu terjadinya insiden, status berhentinya aktivitas mencurigakan itu, atau jumlah penerima surat peringatan tersebut.
Layanan mSecure diketahui memiliki kemampuan menyelaraskan brankas data melalui mSecure Cloud, Dropbox, iCloud, ataupun jaringan Wi-Fi lokal. Surat edaran itu tidak menjelaskan apakah metode sinkronisasi yang dipilih pelanggan berkaitan langsung dengan insiden ini.
Melalui varian mSecure 7 pada paket langganan Essentials ke atas, sistem mampu menyimpan passkey dan kode 2FA berdampingan dengan kata sandi. Petunjuk pada surel berfokus pada pengamanan data tersimpan, meski tidak dijelaskan secara gamblang apakah instruksi 2FA dan passkey itu ditujukan untuk data simpanan, kredensial login akun mSecure sendiri, atau keduanya.
Pihak mSecure menegaskan isi brankas data selalu dienkripsi langsung dari perangkat pengguna sebelum proses sinkronisasi berjalan, sehingga pengembang sendiri diklaim tidak memiliki akses ke berkas rahasia pelanggan.
Meski demikian, dalam mSecure versi 6.1.5 untuk Android, mSeven secara teori mampu mengakses informasi yang tersimpan menurut temuan Kantor Federal Keamanan Informasi Jerman (BSI) dalam kajian Desember 2025. Pengujian BSI tersebut hanya dilakukan terhadap versi spesifik tadi dan temuannya berpeluang berbeda pada pembaruan sesudahnya.
Pemberitahuan mSeven juga belum memastikan apakah insiden mencurigakan tersebut berhasil menyentuh data brankas ataupun kunci enkripsi pelindungnya.
Langkah yang Disarankan kepada Pelanggan
Surat edaran tersebut mencantumkan anjuran sebagai opsi tindakan tanpa memberi prioritas akun mana yang harus didahulukan maupun petunjuk teknis penerapannya. Email itu juga tidak menyebutkan apakah pelanggan disarankan tetap memanfaatkan mSecure untuk menyimpan kredensial baru.
Hingga tanggal 3 November pukul 18.00 UTC, aplikasi mSecure versi iPhone termutakhir di App Store Apple tercatat pada versi 7.1.0 yang dirilis 23 Oktober.
