مدیر گذرواژه برتر mSecure به کاربران می گوید که فورا رمزهای عبور را تغییر دهند

mSecure یک رخنه شامل یک پایگاه داده ابری رمزگذاری شده حاوی داده های کاربران فعلی و سابق را فاش کرد.

این شرکت از کاربران خواست تا رمزهای عبور حیاتی، روش‌های MFA و کلیدهای عبور را بچرخانند، علیرغم اینکه هیچ مخزن شواهدی رمزگشایی نشده است.

انتقاد مشتریان پس از افشای اولیه محدود باعث عدم اطمینان در مورد دامنه و تأثیر حادثه شد مدیر گذرواژه برتر mSecure تأیید کرده است که با نقض داده‌ها مواجه شده است و «از روی احتیاط فراوان» به مشتریان خود گفته است که به سادگی همه چیز را بازنشانی کنند و باعث ناراحتی زیادی شود.

در 3 نوامبر 2026، شرکت سازنده mSecure، به نام mSeven Software، ایمیلی برای مشتریان خود ارسال کرد و گفت: «اخیرا از فعالیت مشکوکی مرتبط با برنامه مدیریت رمز عبور mSecure مطلع شده است». به زودی تحقیقاتی را آغاز کرد، این موضوع را کاهش داد و کارشناسان امنیت سایبری شخص ثالث را برای کمک به این سازمان دعوت کرد.

این اخطار، در حالی که در جزئیات بسیار پراکنده بود، از مشتریان خواست که "فورا اقداماتی را برای محافظت از تمام اطلاعات محرمانه ذخیره شده در برنامه مدیریت رمز عبور mSecure انجام دهند. این ممکن است شامل تغییر رمز عبور، تنظیم مجدد یا ثبت مجدد روش های احراز هویت دو عاملی، یا حذف کلیدهای عبور موجود باشد."

پایگاه داده رمزگذاری شده

همه اینها بدون ذکر جزئیات آنچه اتفاق افتاده گفته شد و مشتریان آن را به خوبی دریافت نکردند. در Reddit، کاربران می‌پرسیدند که آیا این فقط به رمز عبور اصلی مربوط می‌شود یا به همه رمزهای عبور ذخیره شده در مدیر. برخی از افراد صدها راز را در mSecure قفل کرده اند و تغییر همه آنها ساعت ها طول می کشد.

یکی از کاربران نوشت: «این اطلاعیه به شدت ناکافی است. «توصیه صدها تغییر اعتبار بالقوه بدون شناسایی تهدید اساسی، مشتریان آسیب‌دیده، یا امنیت برنامه‌ای که برای ایجاد این تغییرات استفاده می‌شود، کافی نیست.»

ظاهرا mSecure با یک اطلاعیه بعدی که در رسانه های اجتماعی نیز به اشتراک گذاشته شده بود، پاسخ داد. در آن، جزئیات بیشتری را فاش کرد و تا حدودی نقض واقعی را کمرنگ کرد:

دیروز، mSeven متوجه شد که یک بازیگر غیرمجاز یک کپی رمزگذاری شده از یک پایگاه داده حاوی اطلاعات متعلق به کاربران فعلی و سابق برنامه مدیریت رمز عبور mSecure به دست آورده است. نکته مهم این است که mSeven هیچ مدرکی دال بر دسترسی بازیگر غیرمجاز به اطلاعات محرمانه ذخیره شده در پایگاه داده در mSecure Cloud ندارد.

به بیان واضح، یک عامل تهدید با یک کپی از پایگاه داده که در mSecure Cloud قرار داشت کنار رفت و همه کاربران - فعلی و سابق - که مدیر رمز عبور خود را با سرویس ابری همگام‌سازی کرده بودند در معرض خطر هستند.

اما mSeven سعی کرد شدت حادثه را کم اهمیت جلوه دهد. در طول این اعلامیه، چندین بار تکرار شد که پایگاه داده سرقت شده رمزگذاری شده است و هیچ مدرکی مبنی بر اینکه عاملان تهدید موفق به رمزگشایی آن شده اند وجود ندارد. حقیقت را بگوییم، پایگاه‌های اطلاعاتی رمزگذاری‌شده باید ایمن باشند، اما بسیاری از مجرمان هنوز آن‌ها را احتکار می‌کنند، در صورتی که کسی در هر مقطع زمانی پیشرفت کند. در واقع یک نام برای این تمرین وجود دارد - HNDL (اکنون برداشت کنید، بعدا رمزگشایی کنید).

همچنین به انتقاد کاربران در مورد نیاز به تغییر همه رمزهای عبور در حال حاضر پاسخ داد:

"به عنوان بهترین روش استاندارد، mSeven همچنان توصیه می کند که مشتریان mSecure رمز عبور اصلی خود را تغییر دهند، گذرواژه های ذخیره شده حیاتی خود را تغییر دهند، روش های احراز هویت دو مرحله ای را بازنشانی کنند، کلیدهای عبور و هر گونه اطلاعات حساس دیگر را جایگزین کنند. این باید بخشی از همه اقدامات امنیتی معمول باشد."

تنها مدیر رمز عبور مشکل ساز نیست

در نهایت، mSecure گفت که حذف برنامه کمکی به این وضعیت نخواهد کرد و تاکید کرد که این مشکل فقط مربوط به کاربرانی است که با mSecure Cloud همگام‌سازی می‌شوند.

در این بیانیه آمده است: "mSeven امنیت و حریم خصوصی تمام اطلاعات ذخیره شده در پلتفرم mSecure را بسیار جدی می گیرد و هیچ مدرکی دال بر اینکه mSecure در حال حاضر برای استفاده ایمن نیست، ندارد." "تیم پشتیبانی ما در سریع ترین زمان ممکن برای پاسخگویی به سوالات مشتریان کار می کند. ما اعتماد شما را به خود جدی می گیریم و از صبر و پشتیبانی مستمر شما قدردانی می کنیم."

این که چگونه تصویر شرکت را منعکس می کند باید دید. یکی از کاربران Reddit گفت که این شرکت در حال حذف نقدها و شکایات منفی است که در فروشگاه Google Play باقی مانده است. اما mSecure به سختی تنها مدیر رمز عبوری است که چنین اتفاقی را تجربه کرده است. در ژوئن سال جاری، LastPass از دست دادن اطلاعات حساس مشتری را تأیید کرد، در حالی که Dashlane گفت هکرها حداقل ده ها صندوق رمزگذاری شده را به دست آورده اند.

از طریق ثبت نام