mSecure dit que sa base de mots de passe a été copiée. Voici quoi faire

Si vous stockez vos mots de passe dans mSecure, l'e-mail envoyé cette semaine par son éditeur mérite une soirée de votre temps. Le 3 novembre, mSeven Software a informé ses clients actuels et anciens qu'il avait « récemment constaté une activité suspecte » liée au gestionnaire de mots de passe, qu'il avait enquêté, pris des mesures correctives et fait appel à des experts externes en cybersécurité, ont rapporté Malwarebytes et TechRadar.

Ce que l'on sait, et ce que l'on ignore

Un second avis, cité par TechRadar, précise qu'« un acteur non autorisé a obtenu une copie chiffrée d'une base de données » contenant des données d'utilisateurs actuels et anciens. L'éditeur affirme n'avoir « aucune preuve » que l'attaquant ait accédé aux informations confidentielles, que seuls les utilisateurs synchronisés avec mSecure Cloud sont concernés et que supprimer l'app n'y changerait rien.

Ce qui manque : comment l'attaquant est entré, quand, combien d'utilisateurs sont touchés et si les données chiffrées pourront un jour être déchiffrées. Malwarebytes relève que le premier avis ne disait pas si les données stockées avaient été consultées, et des utilisateurs de Reddit l'ont jugé « largement insuffisant », selon TechRadar.

Dans le bon ordre

L'avis de l'éditeur et les conseils de Malwarebytes convergent vers la même liste. Suivez-la dans cet ordre :

• Changez d'abord le mot de passe maître de mSecure, comme le recommande mSeven.
• Renouvelez les mots de passe qui ouvrent tout le reste : messagerie principale, banque, travail et tout compte servant à récupérer les autres.
• Changez chaque mot de passe sur le site ou l'app officiels du service, jamais via un lien reçu par e-mail ; les fuites attirent le phishing.
• Réenregistrez les codes de double authentification stockés dans le coffre.
• Pour les passkeys conservées dans mSecure, créez-en une nouvelle ailleurs et supprimez l'ancienne, mais seulement après avoir vérifié qu'un autre moyen de connexion fonctionne.
• Envisagez d'enregistrer vos nouveaux identifiants dans un autre gestionnaire le temps que les faits soient établis, comme le suggère Malwarebytes.

Une base chiffrée volée est un compte à rebours, pas une catastrophe. À vous de rendre chaque secret périmé avant la fin du décompte.

Penser à la famille

Si vous avez installé mSecure pour votre conjointe, vos parents ou un adolescent, leur coffre a peut-être été synchronisé aussi. Asseyez-vous ensemble, commencez par la messagerie et la banque et prenez le temps qu'il faut ; certains utilisateurs ont des centaines d'identifiants. Puis fixez une règle durable : un mot de passe maître long et unique, utilisé nulle part ailleurs, et la double authentification sur la messagerie qui permet de tout réinitialiser. Si vous pensez qu'un compte a déjà été utilisé frauduleusement, contactez directement le service et votre banque.