ההודעה שיצאה ב-3 בנובמבר מבקשת מהלקוחות בדיוק את העבודה שמנהל סיסמאות אמור לחסוך מהם: לעבור חשבון אחרי חשבון ולהחליף את הסיסמאות. גם לאפס את האימות הדו-שלבי ולהסיר passkeys, אותם מפתחות התחברות שמחליפים סיסמה ונשמרים במכשיר או באפליקציה. מה שההודעה לא אומרת זה מה בעצם קרה.

מה קרה

mSeven Software, שמפתחת את מנהל הסיסמאות mSecure, שלחה ללקוחות הודעת דואר אלקטרוני ובה נכתב שהחברה למדה לאחרונה על "פעילות חשודה" הקשורה לאפליקציה. ההודעה אומרת שנפתחה חקירה, שננקטו צעדים להגבלת הבעיה ושהובאו מומחי אבטחה חיצוניים. היא אינה אומרת מה הייתה אותה פעילות, באילו מערכות, מתי התרחשה או אם נעצרה, וכמה אנשים קיבלו אותה. בעיקר, היא אינה אומרת אם מידע של לקוחות נחשף.

לפי The Hacker News, ההודעה נשלחה ללקוחות נוכחיים וללקוחות לשעבר, ולקוח אחד פרסם את נוסחה בפורום התמיכה של mSecure באותו יום. עד 18:00 UTC ב-3 בנובמבר החברה לא פרסמה דבר בעניין בחשבונות ה-X והפייסבוק שלה, ואף עובד לא הגיב באותו שרשור. גם סקירות שפורסמו למחרת לא מצאו הצהרה מפורטת יותר, כך שבשלב הזה כל מה שיש הוא ההודעה עצמה.

mSecure אומרת שהכספת של הלקוח מוצפנת על המכשיר שלו לפני שהיא מסונכרנת, ושגם למפתחים אין גישה לתוכן. יש לכך הסתייגות אחת: המשרד הפדרלי הגרמני לאבטחת מידע (BSI) פרסם בדצמבר 2025 בדיקה שלפיה בגרסה 6.1.5 של mSecure לאנדרואיד החברה כן יכלה, תיאורטית, להגיע למידע המאוחסן. נבדקה רק אותה גרסה, והממצא ההוא אינו אומר דבר על מה שקרה עכשיו.

למה זה חשוב לכם

מנהל סיסמאות הוא פשרה שאנשים עושים בעיניים פקוחות: כל הסיסמאות במקום אחד, מוגנות בסיסמה אחת. זה עדיין עדיף בהרבה על אותה סיסמה בחמישים אתרים, ולכן ההמלצה להשתמש באחד לא משתנית. אבל ב-mSecure 7 אפשר לשמור בכספת גם קודי אימות דו-שלבי וגם passkeys, לצד הסיסמאות עצמן, וכספת שנפרצה חושפת אז את שני הגורמים שאמורים להגן זה על זה. זאת גם הסיבה שבקשה כזאת מצד יצרן היא כבדה כל כך: ללקוח עם מאות רשומות שמורות, "החליפו סיסמאות" הוא פרויקט של כמה ימים, לא פעולה של רגע.

מה עושים?

אם אתם משתמשי mSecure, התחילו מהחשבונות שהנזק בהם הגדול ביותר: דואר אלקטרוני, בנק וכרטיסי אשראי, ארנקי קריפטו. הדואר האלקטרוני קודם לכולם, כי דרכו מאפסים את כל השאר.

אל תלחצו על קישורים בהודעה עצמה. היכנסו לאפליקציה או לאתר ישירות, ומשם החליפו את סיסמת החשבון. הודעות על אירועי אבטחה הן בדיוק מה שתוקפים מחקים.

הוציאו את קודי האימות הדו-שלבי מהכספת והעבירו אותם לאפליקציית אימות נפרדת, ובחשבונות החשובים למפתח חומרה. שני הגורמים לא צריכים לשבת באותו מקום.

בדקו בתיבת הדואר אם נוספו כללי העברה אוטומטית שלא אתם יצרתם. זה הסימן השקט ביותר לכך שמישהו אחר היה שם.

חברה שאומרת מעט כל כך על אירוע ומבקשת מהלקוחות הרבה כל כך היא, בפני עצמה, מידע.