El 3 de noviembre de 2026, mSeven Software, empresa detrás del gestor de contraseñas mSecure, envió un correo a usuarios actuales y antiguos advirtiendo sobre una actividad sospechosa vinculada a la aplicación. El mensaje, firmado por la propia compañía, indica que se ha iniciado una investigación, se han tomado medidas de contención y se han incorporado expertos externos en ciberseguridad. No se especifica la naturaleza exacta del incidente, cuándo ocurrió ni cuántos usuarios fueron impactados.
Alerta enviada el 3 de noviembre
En la comunicación se sugiere, sin detallar prioridades, cambiar contraseñas, resetear o volver a inscribir la autenticación de dos factores (2FA) y, si procede, eliminar los passkeys almacenados. La recomendación se extiende a toda la información confidencial guardada en la bóveda de password manager, pero no aclara si los pasos aplican sólo a los datos protegidos dentro de la app o también a la cuenta de acceso a mSecure. Además, el aviso carece de información sobre si la supuesta actividad comprometió los propios datos cifrados o únicamente los mecanismos de acceso.
Qué implica la arquitectura de mSecure
Según la documentación oficial, los datos se cifran en el dispositivo del usuario antes de sincronizarse mediante mSecure Cloud, Dropbox, iCloud o Wi-Fi. Este cifrado local implica que, incluso los desarrolladores, no pueden leer la información. Sin embargo, una investigación del BSI (Oficina Federal Alemana de Seguridad de la Información) publicada en diciembre de 2025 detectó que la versión 6.1.5 para Android permitía, teóricamente, al desarrollador acceder a la bóveda. El estudio se limitó a esa versión y no descarta posibles cambios posteriores. En la fecha del aviso (18:00 UTC del 3 de noviembre) la versión disponible en la App Store de Apple era la 7.1.0, lanzada el 23 de octubre, sin que se indique si esa actualización corrige la vulnerabilidad señalada por el BSI.
Reacciones de usuarios y falta de claridad
El mensaje generó incertidumbre entre los clientes, muchos de los cuales compartieron su preocupación en el foro de soporte de mSecure. Peticiones frecuentes incluyen aclaraciones sobre si la master password está comprometida, si los passkeys y códigos 2FA guardados en la bóveda están en riesgo y si es seguro volver a guardar nuevas credenciales tras el aviso. Algunos usuarios reportaron tener cientos de contraseñas almacenadas y preguntaron si deben reemplazarlas todas, lo que representa una carga operativa considerable. Hasta las 18:00 UTC del mismo día, ni mSeven Software ni su cuenta oficial en X o Facebook habían emitido un comunicado adicional, y ningún empleado respondió en el hilo del foro.
En ausencia de datos concretos, la recomendación prudente es que los usuarios revisen las cuentas más críticas (banca, correos, servicios de pago) directamente en los portales oficiales, cambien sus contraseñas y actualicen la autenticación de dos factores allí, sin depender exclusivamente de una posible solución dentro del gestor. Asimismo, es aconsejable conservar copias de seguridad fuera de línea de los datos esenciales mientras se aclare el alcance de la supuesta vulnerabilidad.
