Empresa do gerenciador de senhas mSecure detecta atividade suspeita e pede que usuários protejam suas credenciais

A mSeven enviou e-mail a clientes atuais e antigos do mSecure dizendo que detectou atividade suspeita ligada ao aplicativo. Segundo a mensagem, divulgada pelo usuário de Mastodon Hal Pomeranz e repetida no fórum de suporte da empresa, a mSeven abriu uma investigação, tomou medidas que não detalhou para conter o problema e acionou especialistas externos em segurança. Quem guarda credenciais no app deve protegê-las já: trocar senhas, configurar ou redefinir a autenticação em dois fatores e remover passkeys existentes.

Não há informação sobre o tipo de atividade, nem se houve invasão dos sistemas e como. O pedido de ação imediata levanta a suspeita de que a criptografia dos dados armazenados não seja tão forte quanto parece, ou de que existam chaves secundárias. A mSeven anuncia nas lojas de aplicativos AES-256, criptografia de ponta a ponta (E2EE) e arquitetura zero-knowledge, com acesso só do usuário. O app tem mais de 500 mil instalações no Google Play e mais de 3.300 avaliações na App Store, o que sugere cerca de 250 mil usuários. O Bitwarden passa de 5 milhões de instalações só no Android. No ano passado, o BSI alemão apontou o mSecure entre os gerenciadores em que o fabricante poderia, em tese, acessar os dados, e disse que o design não atendia ao esperado para esse tipo de software.

Em 19 de fevereiro de 2026, o CEVIU noticiou "Gerenciadores de Senhas Menos Seguros do que Prometido", sobre pesquisadores da ETH Zurich que demonstraram 25 ataques contra Bitwarden, LastPass e Dashlane. Era outro conjunto de produtos, então não é evolução do caso mSecure, mas mostra que as promessas de zero-knowledge já vinham sendo questionadas. Em 22 de outubro de 2026, o CEVIU também noticiou "Railway alerta para possível acesso não autorizado a variáveis de ambiente de clientes", outro caso em que a empresa recomendou rotação de credenciais, sem relação direta com a mSeven.

Para quem opera segurança em empresas, isso significa verificar se alguém da organização usa o mSecure para credenciais corporativas e tratar essas contas como potencialmente expostas até haver esclarecimento. A falta de detalhes da mSeven impede medir o risco real, então a rotação preventiva de senhas, MFA e passkeys parece a decisão mais prudente. O caso também reforça avaliar a arquitetura de criptografia de um gerenciador, e não só o que a página do produto afirma.