mSecure demande à ses utilisateurs de réinitialiser leurs passkeys après des attaques sur les clés synchronisées

mSeven Software a écrit le 3 novembre aux clients de mSecure pour leur demander de changer leurs mots de passe, de réinitialiser l'authentification à deux facteurs et de supprimer les passkeys, après ce qu'elle appelle une activité suspecte. L'avertissement suit un tutoriel publié le 31 octobre, qui décrivait une configuration terminée sur PC en une minute environ.

Cet avertissement est une consigne de réinitialisation, pas un diagnostic. Aucune des deux entreprises n'a indiqué combien d'utilisateurs sont concernés, ni si toutes les voies d'attaque sont fermées.

Le courriel de mSecure est arrivé quatre jours après qu'eSecurity Planet a décrit trois techniques de détournement des passkeys Google synchronisées. Des millions de personnes sont incitées à ajouter des passkeys aux comptes qu'elles utilisent tous les jours. Les procédures de récupération autour de ces passkeys sont devenues le point faible. Un PC Windows compromis ou une boîte mail détournée peuvent annuler la protection. Le message a été envoyé aux clients actuels et anciens. Il indique que mSeven Software a récemment eu connaissance d'une activité suspecte liée à l'application. Il ne précise pas ce qui s'est passé, ni si des données stockées ont été exposées.

mSeven Software affirme avoir ouvert une enquête, pris des mesures pour limiter le problème et fait appel à des experts externes en cybersécurité.

Le silence public a suivi. Au 3 novembre à 18h00 UTC, mSeven Software n'avait rien publié sur le courriel sur les comptes X et Facebook de mSecure. Aucun membre du personnel n'avait répondu dans le fil du forum d'assistance. La dernière version iPhone de mSecure sur l'App Store d'Apple était la 7.1.0, sortie le 23 octobre. L'avertissement est parti onze jours plus tard. Le courriel présente les étapes comme des possibilités. Il ne dit pas si les clients doivent continuer à utiliser mSecure.

Pourquoi les passkeys sont soudain l'affaire de tous

note a ouvert l'authentification à deux étapes par passkey à tous les utilisateurs le 26 octobre 2026, y compris aux utilisateurs de l'offre gratuite.

La fonction était auparavant réservée aux offres professionnelles. Un tutoriel publié le 31 octobre décrit une configuration terminée sur PC en une minute environ. note n'a pas supprimé le mot de passe. Elle l'a conservé et a ajouté la passkey comme second contrôle. Ce choix compte pour la récupération. Les utilisateurs qui perdent leur appareil peuvent se connecter avec un code à six chiffres envoyé à leur adresse électronique enregistrée. C'est pratique, et c'est une seconde porte.

Les passkeys synchronisées peuvent être détournées, selon des chercheurs

Palo Alto Networks Unit 42 a nommé trois techniques. Elles pourraient permettre à un logiciel malveillant installé sur une machine Windows de détourner des passkeys synchronisées via Google Password Manager, rapporte eSecurity Planet le 30 octobre.

Elles s'appellent Pass-ta-key, Silver Pass-ta-key et Golden Pass-ta-key. La version de base utilise la clé d'identité de l'appareil protégée par TPM dans Chrome pour demander une assertion d'authentification valide sans droits d'administrateur, sans biométrie, sans code PIN et sans interaction de l'utilisateur. Unit 42 l'a testée contre eBay, qui ne validait pas l'indicateur User Verified. eBay a corrigé le problème après la divulgation. La troisième technique va plus loin. Golden Pass-ta-key cible le Security Domain Secret qui chiffre les passkeys synchronisées. Google a retiré ce secret des journaux FIDO internes de Chrome après la divulgation. Les chercheurs affirment que Chrome le reçoit toujours et qu'il reste brièvement lisible dans la mémoire du processus. Unit 42 n'a signalé aucune exploitation dans la nature. L'étude n'indique pas les versions de Chrome concernées et ne confirme pas que toutes les voies d'attaque sont fermées.

Les clés ne racontent pas tout

mSecure affirme que les données du coffre sont chiffrées sur l'appareil du client avant leur synchronisation. Elle affirme que ses développeurs ne peuvent pas lire les informations des clients.

Le BSI allemand a conclu dans une étude publiée en décembre 2025 que mSeven Software pouvait en théorie accéder aux données stockées dans mSecure 6.1.5 pour Android. L'office n'a testé que cette version. Adam Lowe, directeur technique de CompoSecure et fondateur d'Arculus, a déclaré à PaymentsJournal qu'une passkey est un identifiant impossible à hameçonner et qu'elle ne suffit toujours pas à elle seule. « J'ai vu des téléphones rootkités, j'ai vu des clouds piratés », a-t-il dit. Amazon, selon lui, prévoit de se passer de mots de passe d'ici 2030.

Ce qui reste sans réponse

Le courriel de mSecure ne nomme pas les systèmes concernés, ne dit pas quand l'activité s'est produite ni si elle a cessé, et ne donne aucun nombre de destinataires. Il ne précise pas si l'activité a atteint les données du coffre ou les clés qui les protègent. Il ne dit pas si la méthode de synchronisation a une importance.

Unit 42 soulève une question ouverte du même ordre. Le même secret protège les passkeys synchronisées existantes et futures, et l'implémentation de Google n'offrirait aucun moyen de le renouveler ou de le révoquer, selon le rapport.