mSecure admite cópia roubada do banco na nuvem

Correção do registro: o item chegou como 'alegado/não verificado', sem ator e com título de notícia no lugar do nome da vítima. A evidência disponível sustenta outra classificação. A própria organização afetada reconhece o incidente, de modo que o selo passa a 'confirmed' e o veredito a 'real'. A data de 2026-11-04 é a da reportagem do BleepingComputer, e o aviso original é de 3 de novembro. Mantemos o ator em branco: ninguém reivindicou, e não encontramos listagem, pedido de resgate ou amostra. A frase 'um hacker roubou o banco' repetida em parte da imprensa vem do relato do segundo aviso, não de uma alegação de criminoso.

O que a vítima diz: o primeiro e-mail é vago e não identifica sistemas, linha do tempo nem número de clientes. Ele fala em atividade suspeita, investigação, medidas de mitigação e peritos externos. O segundo aviso, que circulou por tickets, fórum e redes sociais, é mais específico: um terceiro não autorizado adquiriu uma cópia criptografada de um banco de dados do mSecure Cloud, e a empresa não tem evidência de acesso ao conteúdo confidencial. O TechRadar usa 'allegedly' ao descrever esse segundo aviso, e BleepingComputer o trata como relato de cliente. Atribuímos esse texto à empresa com confiança moderada, porque chegou por vários clientes independentes, mas não encontramos página oficial publicada. Nas fontes lidas, a empresa não respondeu às perguntas da imprensa.

A contradição que importa está entre a ação pedida e a garantia dada. Se o banco estivesse inquebrável e sem acesso ao conteúdo, não faria sentido pedir a clientes atuais e antigos que rotacionem todas as senhas, refaçam 2FA e removam passkeys. A orientação é compatível com um cenário em que a empresa não pode excluir que o cofre roubado seja quebrado, mas isso é inferência nossa e não declaração dela. Também é incerto se 'banco de dados' significa os cofres sincronizados, metadados de conta ou ambos. O aviso fala em informações de usuários atuais e antigos, o que sugere que dados de ex-clientes seguiam armazenados.

Sobre a arquitetura: a documentação do mSecure, citada pelo Windows Forum (fonte secundária), diz que a senha da conta e a Encrypted Account Key (o QR code) não ficam nos servidores da mSeven. Se for correto e essa chave não estiver no banco roubado, um atacante com a cópia teria de superar mais que a senha mestra. Não confirmamos isso para este banco. Há uma resposta de suporte, sem data, no fórum oficial: a mSecure não implementa rodadas de PBKDF2 sobre a senha mestra, e os dados não são cifrados diretamente por ela. Já uma resenha de terceiros afirma que a senha passa por PBKDF2, sem fonte primária. As duas versões conflitam, e não conseguimos resolver. É o ponto técnico que mais pesa na probabilidade de quebra offline.

Descartamos uma hipótese que circulou: a de que o e-mail fosse phishing ou que só o sistema de envio tivesse sido invadido. O e-mail passou em SPF, DKIM e DMARC pelo SendGrid com o domínio da própria empresa, e o segundo aviso confirma a violação de dados. Autenticação de e-mail prova apenas que um agente autorizado enviou a mensagem. Um usuário relatou não ter recebido o e-mail, o que é anedótico e não prova nada sobre a lista de envio. O risco derivado é de golpes oportunistas que imitam o aviso.

A avaliação do BSI (com a Verbraucherzentrale NRW e o FZI), de dezembro de 2025, é o contexto que mais circula e o que mais engana. Ela concluiu que o fabricante poderia, em teoria, acessar dados do mSecure 6.1.5 para Android e que o conceito não atendia às expectativas usuais. Isso é uma crítica de desenho, e não há fonte que a ligue a este incidente. A cópia roubada era do servidor de sincronização, e o BSI testou um cliente Android de versão anterior. Usar o relatório como explicação do ataque seria extrapolação.

Precedente comparável: no caso LastPass de 2022, o ator obteve backups de cofres, e a proteção do que estava cifrado dependia das senhas mestras dos usuários. A comparação serve para calibrar o risco, não para equiparar os casos: não sabemos o conteúdo nem o escopo do banco do mSecure.

O alcance é usuários atuais e antigos do mSecure, e a empresa limita o incidente aos que sincronizavam pelo mSecure Cloud. Não há número publicado. Na prática, quem usa senha mestra fraca ou reutilizada pode ter o cofre quebrado offline, sem prazo e sem sinal visível. O que pesa são os segredos guardados dentro dele: senhas, sementes TOTP, passkeys e dados financeiros. Para quem guardava credenciais administrativas (provedores de nuvem, registradores, VPN, e-mail de recuperação), o impacto é uma rotação extensa. Existe ainda o risco de golpes que imitam o aviso. Nenhum abuso de credencial roubada foi relatado nas fontes lidas.