Ing. Calogero Bono
Pada 3 November, mSeven Software, perusahaan di balik pengelola kata sandi mSecure, mengirim email kepada pelanggan saat ini dan sebelumnya. Mereka meminta kamu segera melindungi semua informasi yang tersimpan di aplikasi, dengan mengganti kata sandi dan menyiapkan ulang 2FA serta passkey. Pemberitahuan pertama tidak menjelaskan apa pun. Lalu pesan kedua menyebut pencurian salinan terenkripsi basis data. Ini penting karena pengelola kata sandi menyimpan kunci untuk semua hal lain, dan pengguna perlu memahami seberapa banyak pekerjaan yang harus dilakukan.
Beberapa istilah sebelum masuk ke fakta. Pengelola kata sandi adalah aplikasi yang menyimpan kredensialmu dalam brankas yang dilindungi kata sandi utama. Vault adalah brankas itu. 2FA adalah verifikasi dua faktor, yaitu lapisan kedua selain kata sandi. Passkey adalah kredensial yang menggantikan kata sandi dan terikat pada perangkat. HNDL singkatan dari harvest now, decrypt later, yaitu mencuri data terenkripsi hari ini dengan harapan bisa membukanya di masa depan.
Apa yang terjadi pada mSecure?
Menurut The Register, email tanggal 3 November menyebut bahwa mSeven baru-baru ini «mengetahui aktivitas mencurigakan» yang terkait dengan aplikasi. Perusahaan mengatakan telah memulai penyelidikan, membatasi masalah, dan melibatkan pakar keamanan eksternal.
Pesan itu tidak menyebutkan sistem yang terlibat, tanggal, atau jumlah penerima. Hal yang sama berlaku untuk pertanyaan paling penting, yaitu apakah data pelanggan benar-benar terekspos.
Apa isi pemberitahuan kedua dari mSeven?
Seperti dilaporkan TechRadar, pemberitahuan kedua yang beredar di media sosial menyebut pihak tidak berwenang memperoleh salinan terenkripsi basis data berisi informasi pengguna saat ini dan sebelumnya. Menurut mSeven, tidak ada bukti bahwa pihak tersebut mengakses data rahasia di mSecure Cloud.
TechRadar merangkum situasinya begini. Seseorang membawa pergi salinan basis data, dan pengguna yang melakukan sinkronisasi dengan cloud mSecure berada dalam risiko. Perusahaan menambahkan bahwa menghapus aplikasi tidak ada gunanya.
Apakah basis data terenkripsi benar-benar aman?
Secara prinsip ya, tetapi itu bukan jaminan permanen. TechRadar mengingatkan praktik HNDL, saat sebagian pelaku mengumpulkan arsip terenkripsi sambil menunggu terobosan teknis. Karena itu, tidak adanya bukti dekripsi saat ini belum menutup persoalan.
Topik ini sudah pernah kami bahas dalam panduan kami tentang enkripsi dan keamanan data. Kekuatan kata sandi utama sangat menentukan, karena dialah yang melindungi arsip yang dicuri.
Mengapa pelanggan begitu marah?
Ajakan untuk mengganti semuanya tanpa rincian membuat pelanggan bingung. Di forum dukungan, seorang pengguna menulis bahwa ia memiliki lebih dari 800 kata sandi tersimpan dan bertanya apakah harus mengganti semuanya. Di Reddit, menurut TechRadar, pengguna lain menyebut pemberitahuan itu «sangat tidak memadai».
Menurut The Hacker News, email itu bahkan tidak menjelaskan apakah langkah 2FA dan passkey berlaku untuk item yang tersimpan di vault, untuk akses ke akun mSecure, atau untuk keduanya.
Batasan yang perlu diketahui
Masih banyak hal yang belum jelas. Kita belum tahu kapan akses terjadi, berapa banyak pengguna yang terdampak, dan apakah ada data lain selain basis data yang ikut keluar. The Hacker News mencatat bahwa mSecure menyatakan enkripsi dilakukan di perangkat, tetapi sebuah studi BSI Jerman yang dipublikasikan pada Desember 2025 menilai akses ke data pada versi 6.1.5 untuk Android secara teoretis mungkin. Pengujian itu hanya mencakup versi tersebut. Klaim bahwa perusahaan menghapus ulasan negatif di Google Play berasal dari satu pengguna Reddit dan belum terverifikasi.
Apa yang berubah bagi kamu yang bekerja secara digital
Jika kamu memakai mSecure dengan cloud, mulailah dari kata sandi utama dan akun paling penting, seperti bank, email, dan alat kerja. Setelah itu, aktifkan 2FA dan passkey untuk layanan tersebut. Jika kamu mengelola perusahaan, periksa siapa di tim yang memakai aplikasi ini dan minta mereka mengganti kredensial bersama. Tidak perlu selesai dalam satu jam. Yang dibutuhkan adalah daftar prioritas, dan ada baiknya membandingkan alternatifnya lewat perbandingan pengelola kata sandi kami.
Pendapat kami
Saran untuk mengganti semuanya memang hati-hati, tetapi menyampaikannya tanpa penjelasan adalah kesalahan. Penyedia yang menjual rasa aman harus segera menjelaskan cakupan, risiko, dan prioritas. Pemberitahuan kedua memang memperbaiki keadaan, tetapi datang setelah protes dan meremehkan masalah dengan frasa «tidak ada bukti». Faktanya, tidak ada pengelola kata sandi yang kebal, seperti terlihat dari janji yang terbantahkan yang sudah pernah kami bahas. Yang penting adalah transparansi dan kecepatan.
Pertanyaan yang sering diajukan
Apakah mSecure mengalami pelanggaran?
Ya, menurut pemberitahuan kedua yang dilaporkan TechRadar. Pihak tidak berwenang memperoleh salinan terenkripsi basis data berisi data pengguna saat ini dan sebelumnya.
Apakah saya harus mengganti semua kata sandi yang tersimpan?
Perusahaan menyarankan mengganti kata sandi utama dan kata sandi yang paling penting. Mereka tidak menyebut urutan, jadi sebaiknya mulai dari akun yang paling krusial.
Apakah menghapus aplikasi membantu?
Tidak, menurut mSeven menghapus aplikasi tidak memperbaiki situasi. Masalahnya ada pada pengguna yang melakukan sinkronisasi dengan mSecure Cloud.
Apakah basis data yang dicuri sudah berhasil didekripsi?
Menurut mSeven, belum ada bukti akses ke data rahasia. Ini bukan konfirmasi final, karena penyelidikan masih berjalan.
Apakah pengguna yang sudah tidak memakai mSecure juga terdampak?
Bisa jadi. Pemberitahuan menyebut pengguna saat ini dan sebelumnya, dan email dikirim ke kedua kelompok.
Apa yang bisa diharapkan dari mSeven dalam beberapa pekan ke depan
Kasus ini masih terbuka, dan jawaban perusahaan akan menentukan apakah pelanggan tetap bertahan. Ada beberapa sinyal yang sebaiknya kamu pantau.
- Cari laporan teknis dari mSeven yang memuat tanggal, sistem yang terdampak, dan jumlah pengguna.
- Pantau apakah ada pembaruan aplikasi atau konfirmasi mengenai penggunaan arsip cloud.
- Pertimbangkan memindahkan data ke pengelola lain jika penjelasannya tetap samar.
