# Мениджърът на пароли mSecure призовава клиентите си да сменят паролите, двуфакторната си автентикация и ключовете си за достъп, без да посочва причина

- URL: https://news.nodepoint.bg/article/5939
- Публикувано: 2026-11-07T12:14:15.000Z
- Категория: Етично хакерство
- Ниво на заплаха за България: висок
- Оригинален източник: HackingPassion — "mSecure Password Manager Tells Customers to Replace Their Passwords, 2FA and Passkeys Without Saying Why" (https://hackingpassion.com/msecure-password-manager-reset-passwords-2fa-passkeys/)
- Издател: NodePoint News (https://news.nodepoint.bg/about), НодПойнт ЕООД
- Бележка: преведено и обобщено с изкуствен интелект, без предварителна човешка редакция (https://news.nodepoint.bg/editorial-policy)

> Разработчикът на мениджъра на пароли mSecure призова настоящи и бивши потребители незабавно да сменят всичките си пароли, 2FA кодове и ключове за достъп след неразкрита „подозрителна активност“. Впоследствие стана ясно, че неоторизирана страна е придобила криптирано копие на база данни от услугата mSecure Cloud, а по-ранно разследване на германската агенция BSI вече е установило сериозни пропуски в архитектурата за сигурност на приложението.

#### Съдържание

![/msecure-password-manager-reset-passwords-2fa-passkeys/msecure-password-manager-reset-passwords-2fa-passkeys.png](https://news.nodepoint.bg/media/articles/5939/img-1.webp)

Пълен курс по етично хакерство: от нулата до експерт

Хаквайте като черните шапки (black hat хакери). Тестове за проникване, Kali Linux, хакване на WiFi и уеб, както и хакерското мислене зад всичко това.

Клиенти с близо 1000 записа за вход в един мениджър за пароли получиха един имейл: сменете паролите, нулирайте двуфакторната автентикация (2FA), премахнете ключовете за достъп (passkeys). Без посочена причина. **Тест на германското правителство сигнализира за това 11 месеца по-рано.**

След няколко години почти всичко се озовава във вашия мениджър за пароли. Данните за вход за вашата банка, имейла ви, служебните ви акаунти, шестцифрените кодове за двуфакторен вход, а напоследък и вашите ключове за достъп (passkeys). Вие помните една главна парола, а приложението помни останалото.

На 3 ноември клиентите на мениджъра за пароли mSecure отвориха имейл от mSeven Software — компанията в Лейк Осуиго, Орегон, която създава приложението. Бивши клиенти, които са спрели да го използват, получиха същия имейл.

В него се казваше, че компанията „наскоро е научила за подозрителна активност“, свързана с mSecure. Те са започнали разследване, предприели са стъпки за ограничаване на щетите и са привлекли външни експерти по сигурността. След това последва съветът. Поради потенциалните последици за сигурността трябва незабавно да защитите поверителната информация, която съхранявате в приложението. Това може да означава смяна на пароли, нулиране или повторно регистриране на двуфакторна автентикация, или премахване на съществуващи ключове за достъп (passkeys).

Последният ред гласеше: „Съжаляваме за всяко неудобство, което това може да причини.“

Това беше всичко. Нищо за това каква е била подозрителната активност, кога се е случила, кои системи са били засегнати или дали са били отнети данни на клиенти. Имейлът даваше толкова малко информация, че клиентите във форума се питаха помежду си дали е истински, или опит за фишинг.

В собствения форум за поддръжка на mSecure клиентите започнаха да пресмятат какво означава този съвет за тях. Един има повече от 800 записа в трезора. Друг има почти 1000. Други написаха 355, 400, повече от 500, а някои казаха, че са поверили данните си за вход на приложението от около десет години. Всеки от тях искаше да знае едно и също нещо — дали това се отнася за всички тях.

Репортери попитаха mSecure какво се е случило и не получиха отговор. Днес, четири дни след имейла, уебсайтът и блогът все още не казват нищо по въпроса. Във форумните теми, пълни с притеснени клиенти, не успях да намеря нито един отговор от компанията.

Обяснението дойде по друг начин. Клиенти, които отвориха заявка за поддръжка, получиха отговор по имейл и го копираха във форума. Няколко от тях получиха абсолютно същия текст.

В този отговор компанията пише, че **неоторизирана страна е придобила криптирано копие на база данни, съдържаща информация, принадлежаща на настоящи и бивши потребители**. Инцидентът засяга клиенти, които са синхронизирали чрез mSecure Cloud — собствената услуга за синхронизация на компанията. Те казват, че нямат доказателства поверителната информация вътре да е била достъпвана, нито доказателства, че приложението е безопасно за използване днес. В същия отговор те все пак ви казват да смените главната си парола и важните си пароли, да нулирате двуфакторната си автентикация и да подмените ключовете си за достъп (passkeys).

mSecure обяснява на страниците си за поддръжка как заключва вашия трезор. Когато създадете акаунт, приложението генерира произволен ключ от 46 символа на вашия телефон или компютър. Те го наричат Account Key (Ключ на акаунта) и той заключва вашия трезор с `AES-256` криптиране. Вашата главна парола, от своя страна, заключва този ключ. Според компанията заключеният ключ се съхранява само на вашето устройство. Това, което отива към mSecure Cloud, е вашият трезор в криптирана форма, плюс известна част от текст, също криптирана, която приложението използва, за да провери дали разполага с правилния ключ.

Собствената помощна страница на mSecure за Android разказва нещата по различен начин. Там компанията пише, че криптира вашите данни с дълъг, произволно генериран ключ, „съхраняван в mSecure Cloud“ — същата услуга, за която се отнася този инцидент.

Ако страницата за сигурност е права, произволен 46-символен ключ защитава откраднатото копие и никой компютър, с който разполагаме днес, не може да отгатне толкова дълъг ключ.

Защо трябва да смените главната си парола, компанията не е обяснила. Вашата парола също е на техните сървъри, в кодирана форма. Преди почти четири години служител написа във форума за поддръжка, че системата за акаунти работи на Parse — сървър с отворен код — и че тя съхранява паролата за вашия акаунт като еднопосочен цифров отпечатък, наречен `bcrypt` хеш. Който държи този отпечатък, не може да го превърне обратно във вашата парола, но може да налучква: да преобразува всяко предположение в отпечатък и да види дали съвпада. Bcrypt умишлено забавя всяко предположение с настройка, наречена цена (cost). В кода на Parse цената е 10 и това число е степенен показател: 2 на степен 10, тоест 1024 цикъла на обработка за едно-единствено предположение.

В по-стара тема той написа, че не са добавили цикли на `PBKDF2` — друг начин за забавяне на налучкването — и че паролата не криптира самия трезор. Дали тези хешове на пароли са били в откраднатото копие, компанията не е казала.

Същият служител отговори на клиент, който попита след пробива в LastPass през 2022 г. какво прави mSecure, за да предотврати подобно нещо при тях. Той нарече дизайна „Zero Knowledge“ (Нулево знание) и написа, че единственият начин за преодоляване на криптирането е непрекъснатото налучкване, докато данните не се декриптират. Ако данните някога бъдат откраднати, добави той, „реалистично няма начин те някога да бъдат използвани“, и че те биха предупредили потребителите си. Тази седмица те наистина ги предупредиха, без да кажат какво се е случило, и им казаха да подменят почти всичко.

Федералната агенция за киберсигурност на Германия, BSI, беше разгледала този дизайн и стигна до различно заключение. През декември 2025 г., единадесет месеца преди този имейл, тя публикува тест на десет мениджъра за пароли, който беше провела съвместно с организация за защита на потребителите. mSecure 6.1.5 за Android беше един от десетте. Заключението на агенцията за mSecure: докато използвате приложението, създателят му може, на теория, да стигне до вашите данни.

Тестващите установиха, че **приложението изпраща на създателя си техническа информация, достатъчна за него да достигне до съдържанието на вашия трезор**. Компанията им казала, че не съхранява тези тайни.

Те откриха и още неща. Чрез влизане с пръстов отпечатък или лицево разпознаване можете да зададете нова главна парола, без да знаете старата. Агенцията определи това като риск при кражба на телефона, а функцията за възстановяване е изградена точно върху този механизъм. Когато споделите парола с някого през приложението, част от ключа пътува заедно с нея — нещо, което компанията потвърди. Приложението използва RSA ключове от 2048 бита, което е под препоръчваното от агенцията днес. Освен това mSecure не публикува информация как работи криптирането му, какви одити на сигурността са били извършени или какъв външен код се съдържа в приложението. Това затруднява проверката от независими изследователи.

Компанията не отговори на техническите въпроси на тестващите. Присъдата: дизайнът не отговаря на това, което може да се очаква от един мениджър на пароли. Преди да го използвате, писа агенцията, запитайте се дали искате да се доверите на създателя му, без да имате солидна основа за това доверие. От десетте продукта в теста три позволяват на производителя да достигне до данните ви по този начин. mSecure беше един от тях.

Почти година преди този имейл агенцията вече беше поставила под въпрос обещанието, че само вие можете да отворите своя трезор. Какво има в откраднатото копие, тестът не може да каже, а компанията твърди, че тези тайни никога не са били съхранявани.

На 3 октомври 2026 г. клиент представи тези констатации в собствения форум на mSecure и попита какво е предприето по въпроса. Служител отговори, че смяната на главната парола с пръстов отпечатък или лице „не представлява риск“. Той също така написа, че „планират извършването на одит за mSecure 7“. На въпроса кога ще стане това, той отговори, че ще бъде приоритет „скоро след пускането на следващите ни обновления“. Версия 7.1.0 излезе на 23 октомври. Не успях да открия публикуван одит. Единадесет дни по-късно беше изпратен имейлът.

След това идва въпросът с бившите потребители. В отговора се казва, че базата данни е съдържала информация и за клиенти, които са се отказали от услугата. Собствените помощни страници на mSecure гласят, че изключването на синхронизацията с mSecure Cloud премахва данните ви от техните сървъри и че данните за акаунта след това се изтриват завинаги. Какво все още са пазели за бившите си клиенти и за колко време, те не казват.

Едно криптирано копие все още може да струва скъпо години по-късно, а пробивът от 2022 г., свързан с онзи въпрос за нулевото знание (Zero Knowledge), показва как. Атакуващите откраднаха резервно копие на клиентските трезори от онзи мениджър на пароли. Паролите и бележките вътре бяха криптирани с ключ, генериран от главната парола. По-новите акаунти използваха 100 100 итерации на `PBKDF2`, но много по-стари акаунти така и не бяха прехвърлени над 5000 итерации или дори по-малко.

През март 2025 г. федералните прокурори в САЩ конфискуваха криптовалута на стойност около 24 милиона долара, свързана с кражба за 150 милиона долара. В обвинителния акт те посочиха, че крадците са използвали данни и пароли, съхранявани в онлайн акаунтите на жертвите в мениджър на пароли. В жалбата не се назовава името на мениджъра на пароли, но се описват два пробива в тази услуга през август и ноември 2022 г. Изследователи, работили с десетки жертви, установиха, че много от тях са държали фразите си за възстановяване на крипто портфейли в трезора и са избрали слаби главни пароли. Голяма част от тях са били и сред най-старите клиенти на тази услуга. Компанията зад нея заяви, че правоприлагащите органи не са ѝ представили никакви категорични доказателства, свързващи кражбите на криптовалута с нейния инцидент.

Веднъж щом един трезор бъде откраднат, атакуващият го задържа. Той може да продължи да налучква паролата офлайн в продължение на години, без екран за вход и без блокиране при неуспешни опити, които да го забавят, а една слаба главна парола, която бъде разбита, отваря целия трезор зад нея.

Ето защо съветът отива отвъд самите пароли. mSecure може да генерира вашите кодове за двуфакторна автентикация вътре в трезора. По техните собствени думи, вашите 2FA кодове се намират редом с данните ви за вход. А откакто mSecure 7 излезе през юни 2026 г., той съхранява и вашите ключове за достъп (passkeys).

Кодът за двуфакторна автентикация се генерира от таен ключ, който уебсайтът ви предоставя еднократно, обикновено под формата на QR код. Всеки, който притежава тази тайна, получава същите шестцифрени кодове като вашия телефон. Когато паролата ви и тази тайна се намират в един и същ трезор, отвореният трезор дава достъп и до двете. Повторното активиране на двуфакторната автентикация в уебсайта ви дава нов таен ключ, а старият спира да работи. Ключът за достъп (passkey) работи по същия начин: премахнете го в сайта, създайте нов и копието в стария трезор става безполезно.

Според отговора от екипа по поддръжката това засяга клиенти, които са синхронизирали данните си чрез mSecure Cloud, сега или в миналото. Ако трезорът ви се е намирал само на едно устройство или сте го синхронизирали чрез Wi-Fi, iCloud или Dropbox, отговорът гласи, че не сте засегнати от това, въпреки че компанията не го е обявила публично. Колко клиенти са синхронизирали през облака, също не се споменава. Само в App Store на Apple приложението има около 52 000 оценки със среден резултат 4,8 звезди, докато собственият сайт на mSecure говори само за хиляди потребители, които му се доверяват.

Какво да направите, ако използвате mSecure Cloud или някога сте го правили:

- → Отворете настройките за синхронизация в приложението, за да проверите дали mSecure Cloud е включен, и си припомнете дали сте го използвали преди
- → Първо сменете главната си парола за mSecure, както съветва компанията
- → След това сменете паролата на имейл акаунта си, защото там пристигат връзките за нулиране на паролите за другите ви акаунти
- → След това сменете паролите за банката си, служебните си акаунти и всяка парола, която сте използвали в повече от един сайт
- → Регистрирайте наново двуфакторната автентикация във всеки сайт, чиито кодове са се съхранявали в mSecure, така че старият таен ключ да спре да работи
- → Премахнете ключовете за достъп (passkeys), които са били съхранени в mSecure, във всеки съответен сайт и създайте нови
- → Ако сте съхранявали фраза за възстановяване на крипто портфейл в трезора, преместете средствата в нов портфейл с нова фраза
- → Отнасяйте се внимателно към всеки имейл, свързан с този инцидент, и посещавайте уебсайта директно, вместо да щраквате върху връзка

Мениджърът на пароли съществува, за да трябва да се доверявате само на едно място. На клиентите на mSecure беше казано да третират това място като компрометирано, а четири дни по-късно все още не им е казано какво се е случило или какво е имало вътре.

*mSecure Support Forum: Security Notice Nov 3, 2026 | mSecure Support Forum: Update from mSecure Team | mSecure: Security Model | BSI: Passwortmanager im Test*

## Анализ на риска за България

Инцидентът представлява висок риск за всички български потребители и компании, които използват или са използвали mSecure с облачна синхронизация (mSecure Cloud). Компрометирането на криптираните хранилища, съчетано с установените от германската агенция BSI архитектурни слабости при управлението на криптографските ключове, може да доведе до неоторизиран достъп до корпоративни и лични акаунти. Засегнатите лица трябва незабавно да сменят своята главна парола, както и всички съхранявани пароли, двуфакторна автентикация (2FA) и ключове за достъп (passkeys).

Ключови думи: mSecure, мениджър на пароли, теч на данни, mSecure Cloud, BSI, криптиране