Clientes do gerenciador de senhas mSecure receberam um e-mail pedindo que tomem providências para proteger as informações confidenciais guardadas no aplicativo. As sugestões incluem trocar senhas, redefinir a autenticação em dois fatores (2FA) e remover passkeys.

O aviso foi enviado em 3 de novembro, em nome da desenvolvedora mSeven Software. Segundo a empresa, ela soube recentemente de atividade suspeita ligada ao aplicativo, mas não disse o que aconteceu nem se algum dado armazenado foi exposto. O e-mail foi enviado a clientes atuais e antigos. Um cliente publicou o texto em um fórum de suporte da empresa no mesmo dia, e até as 18h UTC a companhia não tinha publicado nada sobre o assunto em suas redes sociais.

A mSeven afirma que abriu uma investigação, tomou medidas para limitar o problema e contratou especialistas externos em cibersegurança. Porém, não informou quais sistemas foram afetados, quando a atividade ocorreu, se ela já parou nem quantas pessoas receberam o e-mail. Também não está claro se a atividade atingiu o cofre de dados dos usuários ou as chaves que protegem esses dados.

Vale entender duas coisas. A empresa diz que os dados do cofre são criptografados no próprio aparelho do usuário antes de sincronizar, e que nem os desenvolvedores conseguem acessar essas informações. Mas um estudo do Escritório Federal de Segurança da Informação da Alemanha (BSI), publicado em dezembro de 2025, apontou que, na versão 6.1.5 para Android, a desenvolvedora poderia, em teoria, acessar dados armazenados. O BSI testou apenas essa versão, e os resultados podem ter mudado com atualizações posteriores.

Sobre o que fazer, o e-mail apresenta as medidas como possibilidades, sem dizer por qual conta começar nem como executar cada passo. Também não diz se o cliente deve continuar usando o mSecure, inclusive para guardar as senhas novas. Como orientação geral, siga as instruções oficiais da fabricante e troque as senhas das contas mais importantes, como e-mail e bancos, a partir de um dispositivo confiável.