mSeven Software, pengembang pengelola kata sandi mSecure, mengirim email kepada pelanggan aktif dan mantan pelanggan pada 3 November 2026. Isinya menyebut perusahaan baru mengetahui aktivitas mencurigakan yang terkait dengan aplikasi mSecure, lalu menyarankan pengguna mengganti kata sandi, mereset autentikasi dua faktor (2FA), dan menghapus passkey. Menurut laporan The Hacker News, email itu tidak menjelaskan apa yang sebenarnya terjadi.
Yang disampaikan mSeven dan yang belum
Dalam email tersebut, mSeven mengaku sudah menyelidiki masalah itu, mengambil langkah pembatasan, dan melibatkan pakar keamanan siber eksternal. Teks email diunggah seorang pelanggan ke forum dukungan mSecure pada hari yang sama, dan sampai laporan sumber ditulis belum ada balasan dari staf di utas tersebut.
Banyak hal penting masih kosong. mSeven belum menyatakan apakah data vault pengguna atau kunci enkripsinya terdampak, sistem mana yang terlibat, kapan kejadiannya, dan berapa pelanggan yang menerima email. Belum jelas juga apakah aplikasi versi terbaru, yaitu 7.1.0 di App Store yang rilis 23 Oktober, ikut terkena, atau apakah metode sinkronisasi seperti mSecure Cloud, Dropbox, atau iCloud memengaruhi risikonya. Di forum, sebagian pengguna mempertanyakan keaslian email itu dan seorang pengguna Reddit disebut mengaku tidak menerimanya. Dugaan bahwa sistem email mSeven ikut dibobol datang dari komentar pengguna dan belum terverifikasi.
mSeven menyatakan data vault dienkripsi di perangkat pengguna sebelum disinkronkan, sehingga pengembang tidak bisa mengakses informasi pelanggan. Pada Desember 2025, Badan Keamanan Informasi Jerman (BSI) menemukan bahwa mSecure 6.1.5 untuk Android secara teori memungkinkan pengembang mengakses data tersimpan. BSI hanya menguji versi itu, sehingga hasilnya belum tentu berlaku untuk versi sekarang. Tidak ada nomor CVE yang disebut dalam laporan ini.
Langkah yang bisa diambil pengguna
Email itu menyebut tiga langkah sebagai saran, bukan kewajiban. Pengguna mSecure sebaiknya memeriksa kebenaran peringatan lewat aplikasi atau situs resmi yang diketik sendiri, bukan lewat tautan di email. Setelah itu, ganti kata sandi utama dan reset 2FA serta passkey akun mSecure. Kata sandi akun penting yang tersimpan di vault, seperti email, perbankan, dan dompet kripto, layak diganti lebih dulu, apalagi bila Anda memakai kata sandi serupa di tempat lain. Pola yang sama berlaku pada insiden lain, seperti pembobolan Chainstack yang juga membuat pelanggan diminta mengganti kata sandi.
Pantau juga kanal resmi mSecure untuk pengumuman lanjutan, dan waspadai email phishing yang menumpang isu ini dengan tautan palsu. Selama penyebab dan cakupan insiden belum dibuka, anggap peringatan ini serius dan ganti kredensial yang paling berharga lebih dulu.
Sumber: The Hacker News dan forum dukungan mSecure. Gambar: The Hacker News.