mSecure demande à ses utilisateurs de changer leurs mots de passe après le vol d’une base de coffres chiffrée

Le 3 novembre 2026, des clients actuels et anciens du gestionnaire de mots de passe mSecure ont reçu un courriel court et inquiétant. Leur développeur, mSeven Software, y disait avoir « appris l’existence d’une activité suspecte » (« learned of suspicious activity ») et recommandait de « prendre immédiatement des mesures pour protéger toutes les informations confidentielles » stockées dans l’application, ce qui « peut inclure de changer les mots de passe, de réinitialiser ou de réinscrire les méthodes d’authentification à deux facteurs, ou de supprimer les clés d’accès existantes ». Pour quelqu’un qui a des centaines de comptes enregistrés, c’est beaucoup de travail, et le courriel ne disait pas pourquoi. Le portrait s’est précisé depuis. Voici ce qu’on sait, ce qu’on ne sait pas, et un ordre raisonnable pour s’y attaquer.

Ce qui s’est passé

Le premier courriel ne disait pas quels systèmes étaient en cause, quand l’activité a eu lieu ni combien de personnes étaient touchées, comme l’ont rapporté The Register et The Hacker News (en anglais) le 3 novembre. Des clients ont posé leurs questions sur le forum de soutien (en anglais) de mSecure, où certains se demandaient même si le courriel était authentique.

Depuis, les clients qui ont ouvert un billet de soutien reçoivent une déclaration plus longue, que plusieurs ont publiée sur le même forum. mSeven y dit qu’« un acteur non autorisé a obtenu une copie chiffrée d’une base de données contenant des informations appartenant à des utilisateurs actuels et anciens », et qu’elle « n’a aucune preuve que l’acteur non autorisé ait accédé aux informations confidentielles stockées dans la base de données de mSecure Cloud ». La déclaration ajoute que :

• le problème « ne concerne que les utilisateurs qui synchronisaient avec mSecure Cloud »
• supprimer l’application « n’aura aucun effet sur cette situation »
• mSeven a pris des mesures pour renforcer sa sécurité et n’a « aucune preuve que mSecure ne soit pas sûr à utiliser actuellement »

BleepingComputer (en anglais) a rapporté la même explication le 4 novembre et dit que mSeven n’avait pas répondu à ses questions. En date du 5 novembre, mSeven n’a publié aucune page publique sur l’incident, ni dit comment la base a été prise ou combien de personnes sont touchées.

À quel point faut-il s’inquiéter?

mSecure dit chiffrer les données du coffre sur votre propre appareil, en AES-256, avant la synchronisation, pour que l’entreprise ne puisse pas les lire. Si c’est bien le cas, ce qui a été pris est un tas de coffres brouillés, et chacun n’est aussi solide que le mot de passe principal qui le verrouille. Un mot de passe principal long et unique rend une attaque hors ligne irréaliste. Un mot de passe court ou réutilisé est bien plus facile à deviner, et un attaquant qui a une copie du coffre peut essayer aussi longtemps qu’il le veut.

C’est la leçon de la fuite de LastPass en 2022, rappelle BleepingComputer : des sauvegardes de coffres chiffrés avaient été volées, et des chercheurs ont plus tard lié des vols de cryptomonnaie à des mots de passe principaux faibles qui avaient été déchiffrés. mSeven n’a pas dit si quelqu’un pouvait déchiffrer sa base, ni expliqué quelles autres données de la base, comme des adresses courriel ou des détails de compte, étaient lisibles sans votre mot de passe principal.

La réponse honnête est donc : rien n’indique que vos mots de passe aient été lus, mais on ne peut pas encore l’exclure, et le degré de prudence dépend surtout de votre mot de passe principal.

Ce que vous pouvez faire

Si vous synchronisiez mSecure avec mSecure Cloud, ou si vous n’en êtes pas sûr :

1. Changez d’abord votre mot de passe principal mSecure, dans l’application, pour une longue phrase de passe que vous n’avez jamais utilisée ailleurs. Cela protège votre coffre à partir de maintenant. Cela ne change pas la copie qui a été prise.
2. Changez ensuite vos mots de passe les plus importants : vos principaux comptes de courriel, votre compte Apple ou Google, vos services bancaires et de paiement, et tout ce qui contrôle d’autres comptes, comme un registraire de domaines ou un hébergeur web. Le courriel passe en premier, parce qu’il permet de réinitialiser tout le reste.
3. Réinitialisez l’authentification à deux facteurs là où mSecure gardait les codes. Si mSecure générait les codes à six chiffres d’un compte, désactivez puis réactivez la 2FA pour ce compte afin que l’ancien secret cesse de fonctionner. Envisagez de garder ces codes dans une application d’authentification distincte.
4. Remplacez les clés d’accès stockées dans mSecure. Supprimez l’ancienne clé dans les paramètres de sécurité du compte et créez-en une nouvelle.
5. Faites le reste à votre rythme, en gardant pour la fin les comptes les plus anciens et les moins utilisés. C’est aussi un bon moment pour supprimer les comptes dont vous n’avez plus besoin.
6. Méfiez-vous des faux courriels « sécurité mSecure ». Les fraudeurs suivent souvent ce genre de nouvelle avec de l’hameçonnage. N’agissez que dans l’application ou sur un site dont vous avez tapé l’adresse vous-même.

Si vous synchronisiez seulement par iCloud, Dropbox ou Wi-Fi, la déclaration de mSeven dit que vous n’êtes pas concerné. Changer votre mot de passe principal reste une étape raisonnable tant que l’entreprise n’en dit pas plus.

Faut-il quitter mSecure? C’est à vous de décider. Peu importe ce que vous utilisez, cherchez un fournisseur qui publie un rapport d’incident clair quand quelque chose tourne mal, et assurez-vous que votre mot de passe principal en est un que vous seriez à l’aise de voir mis à l’épreuve hors ligne.

Comment Frame peut aider

Ajoutez cette fuite à une adresse courriel vérifiée dans Frame : Frame montre ce qu’elle a exposé, vous donne une courte liste de vérification et en tient compte dans votre rapport d’exposition. Frame peut aussi chercher vos adresses courriel vérifiées dans la base de données de fuites de Have I Been Pwned. Les alias de courriel de Frame vous permettent aussi de donner à chaque service sa propre adresse : un courriel d’hameçonnage qui arrive à l’adresse de votre gestionnaire de mots de passe mais prétend venir de votre banque est alors facile à repérer. Frame ne recueille ni ne conserve jamais les données divulguées elles-mêmes.

À lire aussi

• Verrouillez vos comptes Google et Apple : clés d’accès, récupération et sessions : la marche à suivre pour deux des comptes à sécuriser en premier.
• Comment les voleurs d’informations dérobent vos sessions, et pourquoi un nouveau mot de passe ne suffit pas : pourquoi déconnecter les autres sessions compte autant que le nouveau mot de passe.

Sources

• The Register, Password manager mSecure tells users to change passwords, won’t say why (en anglais), 3 novembre 2026
• The Hacker News, mSecure Warns Users to Change Passwords, Reset 2FA and Passkeys After Suspicious Activity (en anglais), 3 novembre 2026
• Forum de soutien de mSecure, Important Security Notice Nov 3, 2026 (en anglais, fil de clients avec le texte du courriel), 3 novembre 2026
• Forum de soutien de mSecure, More vital information about the mSecure incident (en anglais, déclaration du soutien de mSeven publiée par un client), novembre 2026
• BleepingComputer, mSecure password manager hack prompts password reset warnings (en anglais), 4 novembre 2026