Recomendamos gestores de contraseñas a todos nuestros clientes, y lo seguimos haciendo. Son la mejor forma práctica de darle a cada cuenta una contraseña larga y única. Pero un gestor de contraseñas concentra todos los secretos en un solo lugar, así que cuando uno es vulnerado, la respuesta correcta tiene que ser rápida y completa. El incidente de esta semana en mSecure es un buen ensayo para cualquier empresa que use uno.
Qué pasó
El aviso de la empresa a sus clientes fue breve. Dijo que mSecure se había "enterado recientemente de actividad sospechosa", que abrió una investigación con expertos externos en ciberseguridad, y recomendó pasos que "pueden incluir cambiar contraseñas, restablecer o volver a registrar métodos de autenticación de dos factores… o eliminar passkeys existentes". No ha respondido a las preguntas de la prensa.
Más detalles llegaron por el propio foro de soporte de la empresa, donde el personal les dijo a los clientes que un atacante se había llevado una copia cifrada de una base de datos de usuarios, que el problema solo afecta a quienes sincronizaban con mSecure Cloud, y que borrar la app no cambiaba nada. Les recomendaron "cambiar su contraseña maestra, cambiar las contraseñas importantes que tengan guardadas, restablecer los métodos de autenticación de dos factores y reemplazar las passkeys". La empresa no ha publicado un comunicado formal que lo diga, así que esto se basa en esas respuestas de soporte.
No se ha revelado cómo entró el atacante, qué campos tenía la base de datos ni a cuántas personas afecta.
Por qué "cifrado" no es el final de la historia
La bóveda de un gestor de contraseñas se cifra con una llave derivada de la contraseña maestra del usuario, y se supone que la empresa no puede leerla. Ese diseño es la razón por la que una copia robada no es un desastre inmediato. También es la razón por la que no es inofensiva: un atacante con la copia cifrada puede intentar adivinar contraseñas maestras sin conexión, tan rápido como le permita su equipo, sin bloqueos y sin alertas.
Cuánto tarda depende de dos cosas: qué tan fuerte es la contraseña maestra y qué tan lento hace el producto cada intento a propósito. El propio personal de soporte de mSecure escribió en 2022 que no usaba la técnica estándar para hacer más lentos los intentos, el hash PBKDF2, sino una llave de cuenta aleatoria que se desbloquea con la contraseña maestra. No está claro si eso cambió en la versión actual. En cualquier caso, una contraseña maestra corta o reutilizada es el punto débil.
Es el mismo patrón que la brecha de LastPass de 2022, cuando bóvedas cifradas robadas se vincularon después con robos de criptomonedas que se cree involucraron contraseñas maestras débiles descifradas. El daño ahí no llegó la semana de la brecha. Llegó meses y años después.
La recomendación de reemplazar passkeys y restablecer la autenticación de dos factores se explica por lo que guardan las versiones actuales de mSecure: las passkeys y los secretos de los códigos de un solo uso viven dentro de la bóveda junto con las contraseñas. Si una bóveda llegara a descifrarse, también quedarían expuestos.
Qué hacer si usas mSecure
Cambia primero tu contraseña maestra, por una frase larga que nunca hayas usado en otro lado. Esto protege las sincronizaciones futuras, pero no la copia que ya se llevaron.
Luego cambia las contraseñas que más importan, suponiendo que la bóveda vieja podría abrirse algún día: correo, banco, nómina, cuentas de administrador de Microsoft 365 o Google, y cualquier cosa que sirva para restablecer otras cuentas.
Restablece la autenticación de dos factores de cualquier cuenta cuyos códigos generaba mSecure, y reemplaza las passkeys guardadas ahí. Pasarlas a otro autenticador es una opción razonable.
Prioriza por daño, no por comodidad. No tienes que cambiar doscientas contraseñas esta noche. Empieza por las diez cuentas que más te dolerían y sigue bajando.
Lo que debería llevarse cualquier empresa
Las contraseñas maestras son el verdadero perímetro. Uses el producto que uses, exige una contraseña maestra larga y única para cada persona del equipo, y que nadie la reutilice en otro lado.
Usa un plan empresarial con control central. Las ediciones empresariales de los principales gestores de contraseñas permiten a un administrador ver quién está inscrito, imponer reglas para la contraseña maestra, exigir autenticación de dos factores en la propia bóveda y quitar el acceso cuando alguien se va.
Guarda fuera de línea los códigos de recuperación más críticos. Los códigos de recuperación de tus principales cuentas de administrador pueden ir en un sobre sellado en una caja fuerte, en lugar de en la misma bóveda que todo lo demás.
Conoce el historial y el diseño de tu proveedor. Pregunta cómo se cifran las bóvedas, cómo se hace más lento adivinar la contraseña maestra, y cómo y qué tan rápido te avisaría el proveedor de una brecha. Un proveedor que responde con vaguedades ya te dijo algo.
El resumen
Un atacante tiene una copia cifrada de la base de datos de usuarios de mSecure. Nada indica que las bóvedas se hayan abierto, pero una bóveda cifrada es un problema que espera: su seguridad depende de la fortaleza de la contraseña maestra de cada usuario durante todo el tiempo que el atacante conserve la copia.
Si usas mSecure, cambia ya tu contraseña maestra y tus contraseñas más importantes, y restablece los métodos de dos factores que guardaba. Si usas otro gestor de contraseñas, sigue usándolo, y asegúrate de que cada contraseña maestra de tu empresa aguantaría la misma prueba.
Fuentes
- Password manager mSecure tells users to change passwords, won't say why — The Register
- mSecure password manager hack prompts password reset warnings — BleepingComputer
- Discusión de clientes y respuestas de soporte — Foro de soporte de mSecure
- Passkeys and one-time passwords in mSecure 7 — mSecure
- Why choose mSecure — mSecure
