mSecure dice que copiaron su base de contraseñas. Esto es lo que debes hacer

Si guardas tus contraseñas en mSecure, el correo que su desarrollador envió esta semana merece una tarde de tu tiempo. El 3 de noviembre mSeven Software comunicó a clientes actuales y antiguos que había "detectado recientemente actividad sospechosa" relacionada con el gestor de contraseñas, que investigó, tomó medidas de mitigación y llamó a expertos externos en ciberseguridad, informaron Malwarebytes y TechRadar.

Lo que se sabe y lo que no

Un segundo aviso, citado por TechRadar, decía que "un actor no autorizado obtuvo una copia cifrada de una base de datos" con datos de usuarios actuales y antiguos. La empresa asegura que no tiene "ninguna prueba" de que el atacante accediera a la información confidencial, que el problema afecta solo a quienes sincronizaban con mSecure Cloud y que borrar la app no ayudaría.

Lo que falta: cómo entró el atacante, cuándo, cuántos usuarios están afectados y si los datos cifrados podrían llegar a descifrarse. Malwarebytes señaló que el primer aviso no aclaraba si se accedió a los datos guardados, y algunos usuarios de Reddit lo calificaron de "tremendamente insuficiente", según TechRadar.

El orden correcto

El aviso de la empresa y la guía de Malwarebytes coinciden en la misma lista. Síguela en este orden:

• Cambia primero la contraseña maestra de mSecure, como recomienda mSeven.
• Cambia las contraseñas que abren todo lo demás: correo principal, banca, trabajo y cualquier cuenta que sirva para recuperar otras.
• Cambia cada contraseña en la web o app oficial del servicio, nunca desde un enlace de un correo; las noticias de brechas atraen phishing.
• Vuelve a registrar los códigos de verificación en dos pasos guardados en la bóveda.
• Para las passkeys guardadas en mSecure, crea una nueva en otro lugar y elimina el registro antiguo, pero solo tras comprobar que otro método de acceso funciona.
• Plantéate guardar las credenciales nuevas en otro gestor hasta que los hechos estén claros, como sugiere Malwarebytes.

Una base de datos cifrada robada es un reloj, no una catástrofe. Tu trabajo es dejar caducado cada secreto antes de que se acabe el tiempo.

También la familia

Si configuraste mSecure para tu pareja, tus padres o un hijo adolescente, su bóveda también pudo sincronizarse. Sentaos juntos, empezad por el correo y la banca y dedicad las horas que haga falta; hay usuarios con cientos de accesos. Después, fija una regla permanente: una contraseña maestra larga y única que no se use en ningún otro sitio, y verificación en dos pasos en el correo que restablece todo lo demás. Si crees que alguna cuenta ya se ha usado indebidamente, contacta directamente con el servicio y con tu banco.