La compromission du gestionnaire de mots de passe mSecure déclenche une alerte générale de réinitialisation

Le 3 novembre 2026, mSeven Software — l'éditeur du gestionnaire de mots de passe mSecure — a commencé à prévenir ses clients de changer leur mot de passe maître et de reconfigurer leurs paramètres de sécurité après ce que l'entreprise a qualifié d'activité suspecte concernant l'application. mSecure conserve mots de passe, clés d'accès et données financières dans des coffres-forts chiffrés synchronisés entre appareils, et l'entreprise commercialise le produit sur une conception AES-256 « zero-knowledge » dans laquelle elle ne peut pas lire le contenu déchiffré du coffre d'un utilisateur.

Ce que mSeven a révélé

Dans un avis adressé à ses clients, mSeven a indiqué avoir identifié « une activité suspecte associée à l'application de gestion de mots de passe mSecure », lancé une enquête, maîtrisé l'incident et fait appel à des experts externes en cybersécurité. L'entreprise a exhorté les utilisateurs à changer leur mot de passe, à réinitialiser ou réenregistrer la double authentification, et à retirer puis réajouter toute clé d'accès. L'avis officiel ne précisait pas quand l'intrusion avait eu lieu, quels systèmes avaient été touchés, ni si des données clients avaient été dérobées.

Ce qui a pu être exposé

Selon des réponses du support partagées publiquement par des clients, mSeven a indiqué aux utilisateurs concernés qu'un attaquant avait dérobé une base de données chiffrée de mSecure Cloud, et que le problème ne touchait que les comptes synchronisés avec le service cloud. L'entreprise aurait déclaré n'avoir trouvé aucune preuve que l'attaquant ait accédé aux informations confidentielles contenues dans la base de données chiffrée. mSeven n'a pas quantifié publiquement le nombre d'utilisateurs concernés, et aucun acteur malveillant n'a été nommé.

Pourquoi c'est important

Comme le matériel dérobé est décrit comme un coffre chiffré, sa sécurité repose sur la robustesse du mot de passe maître de chaque utilisateur. Un mot de passe maître suffisamment faible ou réutilisé peut être attaqué hors ligne une fois qu'un coffre chiffré se trouve entre les mains d'un adversaire — la même dynamique qui a transformé la compromission de LastPass en 2022 en une longue série de compromissions de comptes et de vols de cryptomonnaies. C'est pourquoi les consignes de mSeven mettent l'accent sur le renouvellement des identifiants plutôt que sur la seule confiance dans le chiffrement : les utilisateurs qui changent les mots de passe stockés dans leur coffre, et surtout ceux protégeant des portefeuilles de cryptomonnaies et des comptes financiers, réduisent la valeur de toute copie qu'un attaquant pourrait détenir. Certains clients ont reproché à l'entreprise de ne pas avoir expliqué publiquement comment la compromission s'était produite, et mSeven n'avait pas répondu aux questions de la presse au moment de la publication.