Para pengguna aplikasi pengelola kata sandi mSecure diimbau segera mengambil tindakan demi menjaga keamanan data rahasia mereka, termasuk opsi memperbarui kata sandi, mereset autentikasi dua faktor (2FA), serta mencabut kunci sandi (passkey).
Pemberitahuan darurat tersebut dikirimkan via email pada 3 November atas nama pihak pengembang, mSeven Software. Pesan tersebut menerangkan bahwa perusahaan baru saja menemukan aktivitas mencurigakan yang berkaitan dengan aplikasi mereka, kendati rincian insiden dan kepastian bocornya data pengguna tidak dijelaskan secara spesifik.
Surat elektronik itu dibagikan kepada pelanggan mSecure aktif maupun mantan pengguna. Salah seorang konsumen yang menerima pengumuman tersebut kemudian mengunggah salinan isinya ke forum bantuan resmi mSecure pada 3 November.
Hingga pukul 18.00 UTC pada 3 November, pihak mSeven sama sekali belum membagikan pengumuman terkait email tersebut di akun media sosial X maupun Facebook mSecure. Belum ada satu pun anggota staf yang memberikan tanggapan di utas forum tersebut.
Berdasarkan isi email, mSeven telah meluncurkan investigasi internal, menerapkan tindakan penanganan untuk menahan dampak masalah, serta menggandeng para pakar keamanan siber eksternal. Namun, mereka tidak merinci sistem mana yang terdampak, waktu pasti terjadinya insiden, status berhentinya insiden, atau total penerima email peringatan tersebut.
Layanan mSecure memungkinkan sinkronisasi brankas data melalui mSecure Cloud, Dropbox, iCloud, ataupun jaringan Wi-Fi. Email pemberitahuan tersebut tidak menerangkan apakah jenis metode sinkronisasi tertentu memengaruhi tingkat risiko pengguna.
Fitur mSecure 7 mampu menyimpan passkey sekaligus kode 2FA di samping kata sandi pada paket Essentials ke atas. Instruksi dalam email berfokus pada langkah mitigasi data dalam brankas, tetapi tidak memaparkan apakah saran reset 2FA dan passkey ditujukan untuk data tersimpan, akses akun mSecure itu sendiri, atau keduanya.
Pihak mSecure menyatakan bahwa seluruh data brankas dienkripsi langsung pada perangkat pengguna sebelum proses sinkronisasi berjalan, sehingga pengembang sendiri diklaim tidak memiliki akses ke informasi para pelanggan.
Namun, pada mSecure versi 6.1.5 untuk Android, mSeven secara teori berpeluang mengakses data pengguna, merujuk pada temuan Kantor Federal Keamanan Informasi Jerman (BSI) dalam studi edisi Desember 2025. Pengujian BSI tersebut hanya menyasar versi spesifik itu dan situasinya bisa saja berubah pada pembaruan berikutnya.
Pesan surel tersebut tidak mengungkap apakah insiden mencurigakan ini berhasil menembus data brankas pengguna atau kunci keamanan enkripsinya.
Langkah yang Diminta Melalui Email
Surel tersebut menyampaikan langkah pengamanan sebagai anjuran opsional tanpa memerinci urutan prioritas akun yang harus diperbaiki maupun panduan teknis pelaksanaannya. Perusahaan juga tidak menegaskan apakah pengguna sebaiknya tetap memakai mSecure, termasuk untuk menyimpan data kata sandi baru mereka.
Per tanggal 3 November pukul 18.00 UTC, aplikasi mSecure versi iPhone paling mutakhir di Apple App Store tercatat versi 7.1.0 yang meluncur pada 23 Oktober.
About the Author
