mSecure każe resetować passkeys, w tle ataki na zsynchronizowane klucze

mSeven Software rozesłał 3 listopada e-maile do klientów mSecure z poleceniem zmiany haseł, zresetowania uwierzytelniania dwuskładnikowego i usunięcia passkeys. Firma napisała, że powodem jest podejrzana aktywność. Ostrzeżenie przyszło po opublikowanym 31 października opisie krok po kroku, w którym ukończenie konfiguracji na komputerze zajmuje około minuty.

To polecenie resetu, a nie diagnoza. Żadna z firm nie podała, ilu użytkowników to dotyczy ani czy wszystkie ścieżki ataku są zamknięte.

E-mail od mSecure przyszedł cztery dni po tym, jak eSecurity Planet opisał trzy techniki przejmowania zsynchronizowanych passkeys Google. Miliony ludzi dostają zachęty, żeby dodawać passkeys do kont, z których korzystają codziennie. Słabym punktem są teraz ścieżki odzyskiwania wokół tych kluczy. Przejęty komputer z Windows albo przejęta skrzynka pocztowa mogą znieść całą ochronę. Wiadomość trafiła do obecnych i byłych klientów. mSeven Software napisał w niej, że niedawno dowiedział się o podejrzanej aktywności związanej z aplikacją. Nie podał, co się stało ani czy doszło do wycieku przechowywanych danych.

mSeven Software podał, że wszczął dochodzenie, podjął kroki ograniczające problem i zatrudnił zewnętrznych ekspertów od cyberbezpieczeństwa.

Potem zapadła cisza. Do godziny 18:00 UTC 3 listopada mSeven Software nie opublikował nic o e-mailu na kontach mSecure w X i na Facebooku. Żaden pracownik nie odpowiedział w wątku na forum pomocy. Najnowsza wersja mSecure na iPhone'a w App Store to 7.1.0 z 23 października. Ostrzeżenie wyszło jedenaście dni później. E-mail podaje te kroki jako możliwości. Nie mówi, czy klienci mają dalej korzystać z mSecure.

Dlaczego passkeys nagle dotyczą wszystkich

note otworzył 26 października 2026 r. uwierzytelnianie dwuskładnikowe przez passkey dla wszystkich użytkowników, także tych na planie darmowym.

Wcześniej funkcja była ograniczona do planów biznesowych. Opublikowany 31 października opis krok po kroku mówi o ukończeniu konfiguracji na komputerze w około minutę. note nie usunął hasła. Zostawił je i dodał passkey jako drugi krok weryfikacji. Ten wybór ma znaczenie przy odzyskiwaniu dostępu. Użytkownik, który zgubi urządzenie, może się zalogować sześciocyfrowym kodem wysłanym na zarejestrowany adres e-mail. To wygodne i jednocześnie drugie drzwi.

Zdaniem badaczy zsynchronizowane passkeys da się przejąć

Palo Alto Networks Unit 42 opisał trzy techniki. Dzięki nim złośliwe oprogramowanie na komputerze z Windows może przejąć passkeys synchronizowane przez Menedżera haseł Google, podał eSecurity Planet 30 października.

To Pass-ta-key, Silver Pass-ta-key i Golden Pass-ta-key. Wersja podstawowa wykorzystuje klucz tożsamości urządzenia Chrome'a oparty na TPM, żeby zażądać ważnego poświadczenia uwierzytelnienia bez uprawnień administratora, biometrii, PIN-u i udziału użytkownika. Unit 42 przetestował ją na eBayu, który nie sprawdzał flagi User Verified. eBay naprawił błąd po ujawnieniu. Trzecia technika sięga głębiej. Golden Pass-ta-key celuje w Security Domain Secret, który szyfruje zsynchronizowane passkeys. Google usunął ten sekret z wewnętrznych logów FIDO Chrome'a po ujawnieniu. Badacze twierdzą, że Chrome nadal go otrzymuje i że przez chwilę da się go odczytać z pamięci procesu. Unit 42 nie odnotował wykorzystania tych technik w praktyce. Badanie nie wskazuje, których wersji Chrome dotyczą, i nie potwierdza, że każda ścieżka ataku jest zamknięta.

Klucze to nie cała historia

mSecure twierdzi, że dane sejfu są szyfrowane na urządzeniu klienta, zanim trafią do synchronizacji. Deweloperzy nie mogą czytać informacji klientów.

Niemiecki BSI w badaniu opublikowanym w grudniu 2025 r. stwierdził, że mSeven Software mógł teoretycznie dostać się do danych przechowywanych w mSecure 6.1.5 na Androida. Urząd testował tylko tę wersję. Adam Lowe, dyrektor ds. technologii w CompoSecure i założyciel Arculus, powiedział PaymentsJournal, że passkey to poświadczenie odporne na phishing, ale samo w sobie niewystarczające. „Widziałem telefony z rootkitami, widziałem zhakowane chmury”, powiedział. Amazon, jak dodał, planuje przejść na logowanie bez haseł do 2030.

Co wciąż pozostaje bez odpowiedzi

E-mail od mSecure nie wymienia systemów, których sprawa dotyczy, nie podaje, kiedy aktywność wystąpiła ani czy ustała, i nie mówi, ile osób go dostało. Nie rozstrzyga, czy aktywność sięgnęła danych sejfu albo kluczy, które je chronią. Nie mówi, czy metoda synchronizacji ma znaczenie.

Unit 42 postawił podobne otwarte pytanie. Ten sam sekret chroni istniejące i przyszłe zsynchronizowane passkeys, a implementacja Google, jak podano, nie daje sposobu na jego rotację ani unieważnienie.