Parola yöneticisi mSecure, uygulamayla bağlantılı şüpheli etkinlik saptadığını açıklayarak kullanıcılarından parolalarını, iki aşamalı doğrulama kodlarını ve passkey’lerini sıfırlamalarını istedi. Uyarı, 3 Kasım’da geliştirici mSeven Software adına gönderilen bir e-postayla mevcut ve eski mSecure müşterilerine ulaştı.
Şirket, ne tür bir olay yaşandığını, saklanan verilerin açığa çıkıp çıkmadığını ya da etkinliğin hangi sistemleri etkilediğini açıklamadı. E-postada yalnızca inceleme başlatıldığı, sorunu sınırlamak için adımlar atıldığı ve dışarıdan siber güvenlik uzmanlarının sürece dahil edildiği belirtildi. Kaç kişiye ulaşıldığına dair sayı da paylaşılmadı.
E-posta ne söylüyor, neyi söylemiyor
Uyarının içeriğini destek forumunda paylaşan bir kullanıcı, mesajı 3 Kasım’da kamuoyuna taşıdı. Aynı gün saat 18.00 UTC itibarıyla mSeven’in mSecure’un X ve Facebook hesaplarında konuya ilişkin bir açıklama yayımlamadığı, forumdaki gönderiye de şirket çalışanlarından yanıt gelmediği görüldü.
E-postadaki talimatlar, kullanıcıların mSecure içindeki bilgilerini korumaya odaklanıyor. Ancak metin, 2FA ve passkey adımlarının yalnızca kasada tutulan veriler için mi, yoksa mSecure hesabının kendi oturum açma bilgileri için mi geçerli olduğunu netleştirmiyor. Şirket, kasadaki verilerin cihaz üzerinde şifrelendiğini, senkronizasyon öncesinde bu şifrelemenin yapıldığını ve geliştiricilerin müşteri bilgilerine erişemeyeceğini savunuyor.
mSecure’un verileri mSecure Cloud, Dropbox, iCloud veya Wi-Fi üzerinden eşitleyebildiği biliniyor. Uyarıda, bu seçeneklerden hangisinin kullanıldığının olay açısından fark yaratıp yaratmadığına dair bir bilgi yer almadı.
Kasadaki veriler ve koruma anahtarları da belirsiz
Metin, şüpheli etkinliğin kasa verilerine ya da bu verileri koruyan anahtarlara ulaşıp ulaşmadığını da söylemiyor. Ayrıca kullanıcıların hangi hesabı önce ele alması gerektiği ya da her adımın teknik olarak nasıl uygulanacağı konusunda ayrıntı vermiyor. E-postada, kullanıcıların yeni parolalarını da mSecure içinde saklamaya devam edip etmemesi gerektiğine ilişkin bir yönlendirme de bulunmuyor.
mSecure 7’de, Essentials planı ve üzerindeki aboneler parolaların yanında passkey ve 2FA kodlarını da kasada tutabiliyor. Bu nedenle şirketin gönderdiği uyarı, sadece şifreler değil, çok faktörlü kimlik doğrulama öğeleri açısından da önem kazanıyor. Buna karşın mesaj, bu adımların mSecure içindeki saklı öğeler için mi, yoksa uygulamanın kendi giriş süreci için mi önerildiğini ayırmıyor.
Android tarafında ise Almanya Federal Bilgi Güvenliği Ofisi’nin 2025 Aralık’ta yayımladığı bir çalışma, mSecure 6.1.5 sürümünde teorik olarak saklanan verilere erişim mümkün olabileceğini ortaya koymuştu. BSI’nin testi yalnızca o sürümle sınırlıydı; kurum, daha sonraki güncellemelerle sonucun değişmiş olabileceğini de not etti.
Apple App Store’daki en güncel iPhone sürümü 3 Kasım saat 18.00 UTC itibarıyla 7.1.0’dı ve bu sürüm 23 Ekim’de yayımlanmıştı. Şirketin yeni uyarısı, bu sürüm numarasından bağımsız olarak, mSecure ekosisteminde saklanan kimlik bilgilerine yönelik belirsiz bir güvenlik olayı etrafında şekilleniyor.