Ing. Calogero Bono
11月3日，mSecure 背后的公司 mSeven Software 给现有及过去的客户发了邮件。邮件建议大家立即保护应用中保存的所有信息，更换密码，并重新设置两步验证和通行密钥。第一封通知没有解释任何细节，随后的第二封消息提到一份加密数据库副本被盗。这件事之所以重要，是因为密码管理器保管着其他所有账户的钥匙，使用者需要清楚自己要做多少工作。
在进入事实之前，先了解几个术语。 密码管理器是一种应用，把你的凭据保存在一个由主密码保护的加密保险库中。保险库指的就是这个存储空间。2FA是两步验证，即在密码之外的第二道验证。通行密钥是一种可替代密码的凭据，与设备绑定。HNDL全称是 harvest now, decrypt later，意思是先窃取如今的加密数据，寄希望于将来能够解开。
mSecure 到底发生了什么？
据 The Register 报道，11月3日的邮件称 mSeven “近期发现了与该应用相关的可疑活动”。公司表示已展开调查、限制了问题范围，并聘请了外部安全专家。
该邮件没有说明涉及哪些系统、具体日期或收件人数量。最关键的问题，即客户数据是否已经外泄，同样没有答案。
mSeven 第二封通知说了什么？
据 TechRadar 报道，一份在社交媒体上流传的第二封通知提到，一名未经授权的人获取了一份加密数据库副本，其中包含现有及过去用户的信息。mSeven 表示，没有证据显示对方访问了 mSecure 云端中的敏感数据。
TechRadar 对此的解读是，有人带走了一份数据库副本，面临风险的是与 mSecure 云端同步的用户。公司补充说，删除应用无济于事。
加密数据库真的安全吗？
原则上是的，但这并非永久的保障。TechRadar 提醒人们注意 HNDL 手法，即一些犯罪分子先囤积加密档案，等待技术突破后再加以利用。因此，目前没有解密证据，并不意味着问题已经结束。
我们在关于加密与数据安全的指南中也讨论过这一主题。真正起保护作用的，是主密码的强度，因为被盗的档案正是靠它来守护的。
为什么客户如此愤怒？
在没有任何细节的情况下要求大家更换所有密码，让客户陷入了疑虑。在支持论坛上，一位用户写道自己保存了800多个密码，并询问是否需要全部更换。据 TechRadar 报道，Reddit 上另一位用户则称这份通知“绝对不够”。
据 The Hacker News 报道，邮件甚至没有说明两步验证和通行密钥的操作针对的是保险库中的条目、mSecure 账户登录，还是两者兼有。
需要了解的局限
仍有许多问题悬而未决。我们不知道入侵发生在什么时候，涉及多少用户，也不清楚除数据库之外是否还有其他数据外泄。The Hacker News 提醒，mSecure 声称数据在设备端加密，但德国联邦信息安全局（BSI）2025年12月发布的一项研究认为，在 Android 6.1.5 版本中，访问数据在理论上是可行的。该测试只针对这一版本。另有报道称公司删除了 Google Play 上的负面评价，但这一说法只来自 Reddit 上的一位用户，尚未得到证实。
这对数字化工作者意味着什么
如果你在使用 mSecure 的云同步功能，应先更换主密码以及银行、邮箱和工作工具等最重要账户的密码。然后再为这些服务启用两步验证和通行密钥。如果你管理一家公司，请检查团队中有谁在使用这款软件，并要求对共享凭据进行处理。这不是一小时内能完成的事，需要先列出优先级清单。同时不妨对比一下替代方案，可以参考我们的密码管理器对比。
我们的看法
建议更换所有密码是稳妥的做法，但在没有任何解释的情况下只发出通知，是一个失误。靠信任吃饭的公司，应当立即说明影响范围、风险和优先事项。第二封通知有所改进，但在受到质疑之后才发出，并且用“未发现证据”这样的说法轻描淡写。事实依然是，没有哪款密码管理器是绝对安全的，正如我们此前报道过的被打破的承诺所示。透明和迅速才是关键。
常见问题
mSecure 是否遭遇了数据泄露？
是的，根据 TechRadar 报道的第二封通知，一名未经授权的人获取了一份包含现有及过去用户信息的加密数据库副本。
我是否需要更换所有保存的密码？
公司建议更换主密码以及重要的密码。它没有给出先后顺序，因此最好从最重要的账户开始。
删除应用有用吗？
没有用。mSeven 表示，删除应用并不能改善情况，问题涉及的是与 mSecure 云端同步的用户。
被盗的数据库是否已被解密？
mSeven 称没有证据表明敏感数据被访问。但这并非最终结论，因为调查仍在进行中。
已不再使用 mSecure 的人是否也受影响？
有可能。通知提到了现有用户和过去的用户，邮件也发给了这两类人群。
未来几周你可以期待 mSeven 做什么
事件仍在进行中，公司的回应将决定客户是否留下。你可以关注以下几个信号。
- 留意 mSeven 是否发布包含日期、涉及系统和用户数量的技术报告。
- 确认是否有应用更新，或是否就云端保险库的使用发出书面说明。
- 如果解释始终含糊，就考虑把数据迁移到其他密码管理器。
