mSecure demande à ses clients de changer leurs mots de passe, sans dire pourquoi
Un gestionnaire de mots de passe n'a qu'une mission, alors un e-mail du vôtre vous demandant de changer vos mots de passe, c'est à peu près la pire nouvelle possible. Les clients de mSecure, une application ancienne disponible sur iPhone, Android, Mac et Windows, l'ont reçu le mardi 3 novembre. mSeven Software, l'éditeur américain, dit avoir « récemment détecté une activité suspecte en lien avec l'application mSecure », avoir ouvert une enquête, pris des mesures de confinement et fait appel à des experts en sécurité externes. Son conseil : sécuriser immédiatement « toutes les informations confidentielles stockées dans mSecure ».
C'est quasiment tout ce que l'entreprise a dit. L'e-mail n'explique ni la nature de cette activité, ni sa date, ni si elle a cessé, ni si quelqu'un s'est approché des coffres chiffrés ou des clés qui les ouvrent. Des destinataires l'ont publié sur le forum d'assistance de mSecure, où personne de l'entreprise n'avait répondu mardi soir. mSecure se présente comme une solution « zero-knowledge », c'est-à-dire que vous seul pouvez lire vos données. L'agence allemande de sécurité BSI l'a mis en doute dans une étude de 2025, concluant que l'éditeur pouvait en théorie accéder aux données stockées dans la version Android testée. Heise estime le nombre d'utilisateurs à environ 250 000, avec plus de 500 000 installations sur Google Play à lui seul.
Si vous l'utilisez, n'attendez pas la suite de l'histoire. Commencez par les comptes les plus sensibles : votre messagerie d'abord, car elle permet de réinitialiser tout le reste, puis la banque, puis tout ce qui garde une carte enregistrée. Changez ces mots de passe, puis reconfigurez la double authentification depuis zéro pour que les codes conservés dans le coffre ne servent plus à rien. Les passkeys stockées dans mSecure doivent être supprimées sur chaque site puis recréées. Rester ou non chez mSecure, c'est votre décision. Tant que mSeven n'a pas expliqué ce qui s'est passé, il est raisonnable de ranger les nouveaux mots de passe ailleurs.
La vérification Confidentialité & comptes de Tendvane peut vous aider à repérer lesquels de vos comptes importants reposent encore sur un simple mot de passe, une bonne liste par laquelle commencer.