Vývojář správce hesel mSecure radí měnit hesla po úniku šifrované databáze z cloudu

Uživatelé správce hesel mSecure dostali 3. listopadu e-mail, který po nich chce hodně práce a skoro nic nevysvětluje. Americká firma mSeven Software, která aplikaci vyvíjí, v něm píše, že se dozvěděla o „podezřelé aktivitě spojené s aplikací mSecure“ (přeloženo), zahájila vyšetřování a přizvala externí odborníky na kybernetickou bezpečnost. Zákazníkům doporučuje „okamžitě“ chránit všechno, co v aplikaci mají: měnit hesla, znovu nastavit dvoufázové ověření a odebrat přístupové klíče. E-mail šel současným i bývalým zákazníkům. Celé jeho znění zveřejnil jeden z nich na fóru podpory mSecure.

Co se stalo, kdy, kterých systémů se to týká a kolika lidí, v e-mailu nestojí. Vlákno na fóru má čtyři stránky dotazů. Jeden zákazník se ptal, jestli má měnit všech svých přes 800 hesel, jiný, jestli se dvoufázové ověření týká jen přihlášení do mSecure, nebo všech účtů, k nimž má v aplikaci kódy. Redakce The Register a BleepingComputer poslaly firmě otázky a odpověď do vydání svých článků nedostaly.

Podrobnosti přišly jen v odpovědích podpory

Víc se zákazníci dozvídali z odpovědí na své dotazy, které pak sdíleli. BleepingComputer 4. listopadu popsal, že podle nich útočník ukradl šifrovanou databázi z mSecure Cloud, tedy ze synchronizační služby firmy. Podobný e-mail pak na fóru zveřejnil další zákazník. Podle něj „neoprávněná osoba získala šifrovanou kopii databáze s informacemi patřícími současným i bývalým uživatelům“ a firma nemá důkaz, že by se útočník dostal k důvěrným údajům uvnitř. Incident se má týkat jen těch, kdo synchronizovali přes mSecure Cloud. Smazání aplikace podle téhož e-mailu na situaci nic nemění.

Synchronizovat se dá i jinak: podle The Hacker News umí mSecure trezor přenášet přes Dropbox, iCloud nebo místní Wi-Fi. Zda jsou uživatelé těchto cest mimo ohrožení, firma veřejně nepotvrdila. Malwarebytes k tomu 6. listopadu dopsal, že omezení na mSecure Cloud zná jen z e-mailů, které přeposlali zákazníci, a přímé prohlášení firmy nenašel. Nejbližší veřejné potvrzení je příspěvek pracovníka podpory na fóru, který zprávu z 3. listopadu sám nazval e-mailem o průniku do mSecure Cloud a dotazy odkázal na adresu podpory s tím, že odpovědi kvůli náporu dorazí se zpožděním. Titulní strana msecure.com o incidentu ještě 10. listopadu nic neříkala.

Proč firma radí měnit hesla, i když byla data šifrovaná

Podle dokumentace mSecure, kterou cituje BleepingComputer, se trezor šifruje algoritmem AES-256 přímo v zařízení uživatele a na servery firmy odchází už zašifrovaný. Firma o sobě píše, že k obsahu přístup nemá. Ukradená šifrovaná kopie ale není bezcenná. Útočník ji může zkoušet lámat na vlastních počítačích, kde ho nic nebrzdí, a slabé hlavní heslo padne nejdřív. BleepingComputer připomíná krádež záloh trezorů LastPass z roku 2022. Výzkumníci ji později spojili s vykradenými kryptoměnovými peněženkami, u kterých útočníci podle všeho prolomili slabá hlavní hesla.

K samotnému mSecure se už dřív vyjádřil německý úřad pro kybernetickou bezpečnost BSI. V prosinci 2025 zveřejnil s výzkumným centrem FZI rozbor deseti správců hesel. U tří z nich našel ukládání hesel, které výrobci teoreticky dovoluje k nim přistoupit, a mSecure byl mezi nimi. V závěrečné zprávě BSI u verze 6.1.5 pro Android z dubna 2024 píše, že aplikace posílá výrobci technické údaje, které mu dovolují dostat se k obsahu trezoru. Přes biometrické přihlášení šlo podle zprávy nastavit nové hlavní heslo bez znalosti starého. Sdílení hesel posílalo část klíče a RSA klíče měly 2048 bitů, tedy méně, než úřad doporučuje. Na technické dotazy mSeven podle BSI neodpověděl. K hotové zprávě uvedl, že údaje, které mu aplikace posílá, neukládá, a potvrdil, že sdílení posílá část klíče. Celkově podle úřadu koncept „nesplňuje obvyklá očekávání od správců hesel“ (přeloženo).

Dnešní verze je mSecure 7 z června 2026 a jestli se v ní zjištění BSI změnila, zpráva říct nemůže. Souvislost s listopadovým únikem netvrdí ani firma, ani nikdo z citovaných zdrojů.

Co si uživatelé mSecure Cloud mají vyměnit

V pozdějším e-mailu firma radí vyměnit hlavní heslo, důležitá uložená hesla, dvoufázové ověření, přístupové klíče a „jakékoli další citlivé údaje“. Kdo má v aplikaci stovky položek, nestihne všechno najednou. Malwarebytes proto doporučuje začít účty, přes které se dá dostat k dalším.

co je uložené v mSecure	proč na tom záleží	co s tím
hlavní heslo k mSecure	zamyká trezor; slabé heslo jde z ukradené kopie uhodnout	změnit v aplikaci; kopii, kterou útočník už má, to ale nezmění
hesla k e-mailu, bance, práci a účtům pro obnovu přístupu	kdo ovládne e-mail, obnoví si přes něj i ostatní účty	změnit jako první, na oficiálním webu nebo v aplikaci služby
kódy dvoufázového ověření	od tarifu Essentials je mSecure 7 umí generovat sám, takže tajný klíč k nim leží v trezoru	ve službě ověření vypnout a nastavit znovu
přístupové klíče (passkeys)	mSecure 7 je ukládá vedle hesel	ve službě starý klíč odebrat a založit nový, nejdřív ale ověřit, že funguje jiný způsob přihlášení

Jak dvoufázové ověření a přístupové klíče fungují, jsme popsali dřív. Kam nová hesla ukládat, firma neřekla. Podle Malwarebytes je rozumné použít dočasně jiného správce hesel, dokud mSeven nevysvětlí, co se stalo. mSeven v e-mailu naopak píše, že nemá důkaz, že by mSecure nebylo bezpečné dál používat. Několik zákazníků na fóru napsalo, že synchronizaci vypnuli nebo předplatné zrušili a hesla stěhují jinam.

Zdroje

• mSecure Support: Important Security Notice Nov 3, 2026, vlákno s e-maily firmy a příspěvkem podpory (od 3. listopadu 2026)
• The Register: Password manager mSecure tells users to change passwords, won't say why (3. listopadu 2026)
• BleepingComputer: mSecure password manager hack prompts password reset warnings (4. listopadu 2026)
• The Hacker News: mSecure Warns Users to Change Passwords, Reset 2FA and Passkeys After Suspicious Activity (3. listopadu 2026)
• Malwarebytes: mSecure tells users to change passwords but won’t say why (4. listopadu 2026, doplněno 6. listopadu)
• BSI: IT-Sicherheit auf dem digitalen Verbrauchermarkt: Fokus Passwortmanager, závěrečná zpráva, oddíl 5.2.7 (prosinec 2025)
• mSecure, titulní strana webu výrobce