要点
- パスワード管理アプリ mSecure を作る mSeven Software が、今と昔の利用者に、アプリに保存した情報をすぐ守るよう求めるメールを送った。
- 例として挙げたのは、パスワードの変更、2FA の作り直し、パスキーの削除である。何が起きたのか、データが漏れたのかは書いていない。
- パスワード管理アプリは、すべてのアカウントの鍵の束だ。会社が理由を言わない以上、使っている人は、最悪を想定して大事なものから作り直すしかない。
何が起きたか
2026年11月3日（米国時間）、mSeven Software（米国の会社）は、mSecure の利用者に「Important Security Notice」という題のメールを送った。受け取った人が mSecure の公式サポートフォーラムに文面を貼っており、The Register と heise もこの通知を報じている。
会社が言っていること
フォーラムに貼られた文面によると、メールが言っているのは次のことだ。
- mSecure に関わる「suspicious activity（怪しい動き）」を最近知った。
- 調べ始めており、被害を抑える手を打ち、外のセキュリティの専門家にも頼んだ。
- mSecure に保存した秘密の情報を守るため、すぐ動くよう勧める。たとえば、パスワードを変える、2FA（パスワードのほかにスマホのコードなどで本人を確かめる仕組み）を作り直す、今あるパスキー（パスワードの代わりに端末で本人を確かめる鍵）を消す。
- このメールは、今の利用者と、前に使っていた人に送っている。
会社が言っていないこと
- 「怪しい動き」が何だったのか。
- いつ起きたのか。
- 攻撃者が利用者のデータに触れたのか。保存したパスワードが漏れたのか。
- どのパスワードや 2FA を作り直せばよいのか。mSecure のログイン用だけか、保存したすべてか。
The Register によると、mSeven は記事が出た時点で質問に答えていない。サポートフォーラムでは、800を超えるパスワードを保存している人などから「全部変えるのか」と聞く声が出ているが、会社の人の返事は見当たらない。会社のサイトやブログにも、11月3日の時点で告知は見つからなかった。
なお、「怪しい動き」があったことと、保存したパスワードが盗まれたり、読める形にされたりしたことは別の話だ。後者は、今のところ確かめられていない。
日本の利用者への影響
mSecure は、App Store と Google Play で配られている。heise によると、Google Play のインストール数は50万を超える。日本で使っている人の数や、日本の利用者への被害の報告は、見つからなかった。日本で広く使われている製品とは言いにくい。ただ、使っているなら、国に関係なく同じメールの対象になる。
今すぐやること
- メールのリンクは押さない。 この手の通知は、偽メールにまねされやすい。フォーラムでも「本物か」と聞く人がいる。アプリや公式サイトを自分で開いて確かめる。
- 大事なアカウントから作り直す。 mSeven は、パスワードの変更、2FA の作り直し、パスキーの削除を勧めている。全部を一度にやるのは大変なので、次の順に進める。まず、ほかのアカウントの作り直しに使うメール。次に、銀行・カード・決済。そのあと、仕事のアカウントとクラウド。最後に、そのほかのもの。
- 2FA のコードを mSecure で出していたなら、作り直す。 2FA のコードのもとになる情報がアプリに入っていたなら、パスワードと一緒に漏れたおそれがある。各サービスで 2FA を一度外し、別のアプリで登録し直す。保存していた予備のコード（リカバリーコード）も、作り直す。
- mSecure に入れていたパスキーは消し、作り直す。 各サービスの設定で、古いパスキーを消してから、新しく作る。
- ほかのアプリへ移るなら、移すだけで終わりにしない。 古いパスワードは、漏れたおそれのあるものだ。移した先で、2〜4の作り直しを続ける。
背景
パスワード管理アプリは、中身を利用者の端末でかぎをかけて（暗号化して）保存し、会社には読めないようにする作りがふつうだ。mSecure も、アプリストアで「AES-256」「E2EE（送る側と受ける側でしか読めない暗号）」「ゼロ知識（会社も中身を知らない作り）」をうたっている。
一方で、ドイツの BSI（国の情報セキュリティ機関）は、2025年12月9日に、消費者団体と一緒に10のパスワード管理アプリを調べた結果を出した。heise などの報道によると、この調査は、mSecure を含むいくつかのアプリについて、作りの上では会社がデータを読める余地がある、と指摘した。調べたのは2025年前半の版だ。それが今回のことに関わるのかは、分からない。
パスワード管理アプリの会社が狙われた例では、LastPass がある。LastPass は2022年に、利用者の保管データの写しを盗まれたと発表した。そのあとも長く、利用者は作り直しに追われた。
技術者向けの詳細
- 通知: 2026年11月3日（米国時間）付けのメール。題は「Important security notice about your mSecure account」と報告されている。送り先は今と昔の利用者
- 通知の文面は、利用者が公式サポートフォーラム（support.msecure.com）に貼ったもの。11月3日の時点で、会社の人がフォーラムで本物と確かめた書き込みはない。届いたメールは、送り主のドメインと SPF/DKIM の結果をヘッダーで確かめる
- 公表されていないこと: 侵入の経路、時期、サーバー側の保管データ（暗号化したもの）が持ち出されたか、暗号のかぎの扱いに影響があるか、同期サーバーやアカウントの認証に影響があるか
- 暗号化した保管データが持ち出された場合の危険は、マスターパスワードの強さで変わる。短いマスターパスワードなら、時間をかけて総当たりで解かれるおそれがある。どちらにしても、マスターパスワードはほかで使っていない長いものに変える
- 移るときの注意:
- 書き出したファイル（CSV など）は、ふつう暗号がかかっていない。取り込んだらすぐ消し、クラウドの同期フォルダやメールに置かない
- TOTP の秘密やパスキーは、書き出しに入らないことや、移せないことがある。各サービスで登録し直すつもりで進める
- 移る先は、外部の監査の結果を公開しているか、会社が保管データを読めない作りかで選ぶ。BSI の調査報告（2025年12月9日）も参考になる
- 組織で使っているなら: mSecure に保存していた共有アカウント、API のかぎ、管理者のアカウントを、作り直しの一番先にする。サインインの記録も、通知の前の期間までさかのぼって確かめる