mSecure chiede di reimpostare le passkey mentre emergono attacchi alle chiavi sincronizzate

Il 3 novembre mSeven Software ha scritto ai clienti mSecure: cambiate le password, reimpostate l'autenticazione a due fattori e rimuovete le passkey. Motivo, quella che l'azienda chiama attività sospetta. L'avviso è arrivato dopo una guida pubblicata il 31 ottobre, che spiegava come completare la configurazione su un PC in circa un minuto.

L'avviso è un ordine di reimpostazione, non una diagnosi. Nessuna delle due aziende ha detto quante persone sono coinvolte, né se ogni via d'attacco sia stata chiusa.

L'email di mSecure è partita quattro giorni dopo che eSecurity Planet aveva descritto tre tecniche per dirottare le passkey sincronizzate di Google. Milioni di persone vengono spinte ad aggiungere passkey agli account che usano ogni giorno. Ora il punto debole sono i percorsi di recupero attorno a quelle passkey. Un PC Windows compromesso o una casella di posta dirottata possono annullare la protezione. L'email è arrivata ai clienti attuali e agli ex clienti. Dice che mSeven Software è venuta di recente a conoscenza di attività sospetta legata all'app. Non dice cosa sia successo, né se i dati memorizzati siano stati esposti.

mSeven Software ha detto di aver avviato un'indagine, di aver preso provvedimenti per limitare il problema e di aver coinvolto esperti di cybersicurezza esterni.

Poi il silenzio. Alle 18:00 UTC del 3 novembre mSeven Software non aveva pubblicato nulla sull'email sugli account X e Facebook di mSecure. Nessun membro dello staff aveva risposto nel thread del forum di supporto. L'ultima build iPhone di mSecure nell'App Store di Apple era la 7.1.0, rilasciata il 23 ottobre. L'avviso è partito undici giorni dopo. L'email presenta i passaggi come possibilità. Non dice se i clienti debbano continuare a usare mSecure.

Perché all'improvviso le passkey sono un problema di tutti

Il 26 ottobre 2026 note ha aperto l'autenticazione a due passaggi tramite passkey a tutti gli utenti, compresi quelli del piano gratuito.

Prima la funzione era riservata ai piani business. Una guida pubblicata il 31 ottobre spiega come completare la configurazione su un PC in circa un minuto. note non ha tolto la password. L'ha mantenuta e ha aggiunto la passkey come secondo controllo. Una scelta che pesa sul recupero. Chi perde il dispositivo può accedere con un codice a sei cifre inviato all'email registrata. Comodo, ma è una seconda porta.

Le passkey sincronizzate possono essere dirottate, dicono i ricercatori

Palo Alto Networks Unit 42 ha indicato tre tecniche. Potrebbero permettere a un malware su una macchina Windows di dirottare le passkey sincronizzate tramite Google Password Manager, ha riferito eSecurity Planet il 30 ottobre.

Sono Pass-ta-key, Silver Pass-ta-key e Golden Pass-ta-key. La versione base usa la chiave di identità del dispositivo di Chrome protetta dal TPM per richiedere un'asserzione di autenticazione valida senza diritti di amministratore, biometria, PIN o interazione dell'utente. Unit 42 l'ha provata contro eBay, che non convalidava il flag User Verified. eBay l'ha corretto dopo la divulgazione. La terza tecnica va più a fondo. Golden Pass-ta-key punta al Security Domain Secret che cifra le passkey sincronizzate. Dopo la divulgazione Google ha rimosso il segreto dai log FIDO interni di Chrome. I ricercatori hanno detto che Chrome lo riceve ancora e che resta leggibile per breve tempo nella memoria del processo. Unit 42 non ha riportato sfruttamenti reali. La ricerca non identifica le versioni di Chrome interessate, né conferma che ogni via d'attacco sia stata chiusa.

Le chiavi non sono tutta la storia

mSecure dice che i dati della cassaforte vengono cifrati sul dispositivo del cliente prima della sincronizzazione. Dice che i suoi sviluppatori non possono leggere le informazioni dei clienti.

In uno studio pubblicato a dicembre 2025, il BSI tedesco ha rilevato che mSeven Software poteva in teoria accedere ai dati memorizzati in mSecure 6.1.5 per Android. L'ufficio ha testato solo quella versione. Adam Lowe, chief technology officer di CompoSecure e fondatore di Arculus, ha detto a PaymentsJournal che una passkey è una credenziale non intercettabile dal phishing e che da sola non basta. "Ho visto telefoni rootkittati, ho visto cloud violati", ha detto. Amazon, ha aggiunto, punta a essere senza password entro il 2030.

Cosa resta senza risposta

L'email di mSecure non nomina i sistemi coinvolti, non dice quando è avvenuta l'attività né se sia cessata, e non fornisce un numero di destinatari. Non dice se l'attività ha raggiunto i dati della cassaforte o le chiavi che li proteggono. Non dice se il metodo di sincronizzazione conti.

Unit 42 ha sollevato una domanda aperta simile. Lo stesso segreto protegge le passkey sincronizzate esistenti e future, e stando alle informazioni l'implementazione di Google non offrirebbe alcun modo per ruotarlo o revocarlo.