สรุปสั้น

mSecure คือ แอปจัดการรหัสผ่านของบริษัท mSeven Software ที่เก็บรหัสผ่าน รหัส 2FA และ passkey ของผู้ใช้ไว้ในคลัง (vault) และซิงก์ข้ามอุปกรณ์ได้ เมื่อวันที่ 3 พฤศจิกายน 2569 ลูกค้าปัจจุบันและอดีตลูกค้าของ mSecure ได้รับอีเมลในนาม mSeven ว่าบริษัทเพิ่งพบกิจกรรมน่าสงสัยที่เกี่ยวข้องกับแอป และแนะนำให้ “พิจารณา” เปลี่ยนรหัสผ่าน รีเซ็ตการยืนยันตัวตนสองชั้น (2FA) และลบ passkey เพื่อปกป้องข้อมูลที่เก็บไว้ในแอป อีเมลระบุว่า mSeven เริ่มสอบสวน จำกัดปัญหา และดึงผู้เชี่ยวชาญภายนอกเข้ามาช่วยแล้ว

ปัญหา คือ อีเมลไม่บอกว่าเกิดอะไรขึ้น ระบบไหนเกี่ยวข้อง เกิดเมื่อไร หยุดแล้วหรือยัง และข้อมูลในคลังหรือกุญแจที่ใช้ถอดรหัสคลังถูกเข้าถึงหรือไม่ ตัวจัดการรหัสผ่านเป็นที่รวมกุญแจของทุกบัญชี ความไม่ชัดเจนนี้จึงทำให้ผู้ใช้ต้องตัดสินใจเองว่าจะเปลี่ยนรหัสผ่านทั้งหมดหรือไม่ ทางที่ปลอดภัยกว่า คือ เริ่มเปลี่ยนรหัสผ่านของบัญชีสำคัญที่สุดก่อน แล้วติดตามประกาศจากบริษัท

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 3 พฤศจิกายน 2569 ว่าลูกค้ารายหนึ่งที่ได้รับอีเมลนำข้อความไปโพสต์ในกระทู้บนฟอรัมช่วยเหลือของ mSecure ในวันเดียวกัน แต่ ณ เวลา 18:00 UTC ของวันที่ 3 พฤศจิกายน mSeven ยังไม่ได้โพสต์อะไรเกี่ยวกับอีเมลนี้บนบัญชี X และ Facebook ของ mSecure และยังไม่มีพนักงานตอบกระทู้นั้น อีเมลไม่ได้ระบุจำนวนผู้รับ และไม่ได้บอกว่าช่องทางซิงก์ที่ลูกค้าเลือกใช้ ไม่ว่าจะเป็น mSecure Cloud, Dropbox, iCloud หรือ Wi-Fi ทำให้ความเสี่ยงต่างกันหรือไม่

mSecure password manager urges users to rotate passwords, reset 2FA and remove passkeys

ประเด็นที่ทำให้คำแนะนำนี้น่ากังวล คือ mSecure 7 ในแผน Essentials ขึ้นไปเก็บ passkey และรหัส 2FA ไว้ในคลังเดียวกับรหัสผ่านได้ แต่อีเมลไม่ได้บอกว่าขั้นตอนเรื่อง 2FA และ passkey หมายถึงข้อมูลที่เก็บในคลัง หมายถึงการล็อกอินบัญชี mSecure เอง หรือทั้งสองอย่าง mSecure ระบุในหน้าแนะนำโมเดลความปลอดภัยว่าข้อมูลในคลังถูกเข้ารหัสบนอุปกรณ์ของลูกค้าก่อนซิงก์ และแม้แต่นักพัฒนาของบริษัทก็เข้าถึงข้อมูลลูกค้าไม่ได้ อย่างไรก็ดี สำนักงานความมั่นคงปลอดภัยสารสนเทศแห่งสหพันธ์เยอรมนี (BSI) เคยรายงานเมื่อธันวาคม 2568 ว่าใน mSecure 6.1.5 สำหรับ Android บริษัทสามารถเข้าถึงข้อมูลที่เก็บไว้ได้ในทางทฤษฎี ผลนี้ทดสอบเฉพาะเวอร์ชันนั้น และอาจเปลี่ยนไปแล้วในเวอร์ชันหลัง

ข้อจำกัดของข้อมูล ณ ตอนนี้มีหลายข้อ:

  • ไม่รู้ว่าเกิดอะไร — อีเมลไม่บรรยายเหตุการณ์ ไม่ระบุระบบ ไม่ระบุช่วงเวลา
  • ไม่รู้ว่าคลังหลุดหรือไม่ — อีเมลไม่ได้บอกว่ากิจกรรมน่าสงสัยไปถึงข้อมูลในคลังหรือกุญแจที่ปกป้องคลังหรือไม่
  • ไม่มีลำดับขั้นตอน — อีเมลเสนอขั้นตอนเป็นทางเลือก ไม่บอกว่าบัญชีไหนควรจัดการก่อน และไม่บอกว่าควรใช้ mSecure ต่อหรือไม่ รวมถึงจะเก็บรหัสผ่านใหม่ไว้ที่ไหน

วิธีการโจมตี

ช่องทางเข้าระบบ — ยังไม่เปิดเผย — mSeven ไม่ได้บอกว่าเกิดอะไรขึ้น ความเป็นไปได้ที่พบบ่อยในเหตุของผู้ให้บริการแบบนี้มี 3 แบบ แบบแรก คือ ระบบหลังบ้านหรือบริการซิงก์ของบริษัทถูกเจาะ แบบที่สอง คือ ช่องทางพัฒนาหรือแจกจ่ายแอปถูกแทรกแซง และแบบที่สาม คือ บัญชีลูกค้าถูกยึดด้วย credential ที่รั่วจากที่อื่น ทั้งหมดนี้เป็นสมมติฐาน ไม่ใช่ข้อเท็จจริงของเหตุนี้

สิ่งที่อนุมานได้จากคำแนะนำ — การที่บริษัทแนะนำให้รีเซ็ต 2FA และลบ passkey ไม่ใช่แค่เปลี่ยนรหัสผ่าน ชี้ว่าบริษัทน่าจะยังตัดความเป็นไปได้ที่ความลับในคลังหลุดไม่ได้ เพราะถ้าเป็นแค่การรั่วของอีเมลหรือข้อมูลบัญชี คำแนะนำมักจำกัดอยู่ที่การระวังฟิชชิง

ผลกระทบ

กลุ่มที่โดน คือ ลูกค้าปัจจุบันและอดีตลูกค้าของ mSecure ทุกแพลตฟอร์ม ขนาดยังไม่ทราบเพราะบริษัทไม่เปิดเผยจำนวนผู้รับอีเมล ผลกระทบขึ้นกับคำตอบของคำถามเดียว คือ ข้อมูลในคลังถูกเข้าถึงในรูปที่ถอดรหัสได้หรือไม่ ถ้าใช่จริง ผู้โจมตีอาจได้ทั้งรหัสผ่าน รหัส 2FA และ passkey ของผู้ใช้ในที่เดียว ซึ่งแปลว่าการป้องกันชั้นที่สองของหลายบัญชีอาจหายไปพร้อมกัน

ถ้าคลังไม่ได้หลุด ความเสี่ยงที่เหลือ คือ ข้อมูลบัญชีลูกค้า เช่น อีเมล ที่ผู้โจมตีอาจนำไปส่งฟิชชิงในนาม mSecure ต่อ สิ่งที่เกิดแล้วแน่นอน คือ ลูกค้าต้องใช้เวลาเปลี่ยนรหัสผ่านและตั้งค่า 2FA ใหม่หลายบัญชีโดยไม่รู้ระดับความเสี่ยงจริง

คำแนะนำ

  • ผู้ใช้ mSecure — ทำทันที: เปลี่ยนรหัสผ่านบัญชีที่สำคัญที่สุดก่อน คือ อีเมลหลัก ธนาคาร บัญชีงาน และบัญชีที่ใช้กู้คืนบัญชีอื่น โดยไม่ต้องรอประกาศเพิ่มจากบริษัท
  • ผู้ใช้ mSecure — ทำทันที: รีเซ็ต 2FA ของบัญชีที่เคยเก็บ seed หรือรหัส TOTP ไว้ใน mSecure และลบ passkey ที่เก็บใน mSecure ออกจากบัญชีต้นทางแล้วสร้างใหม่
  • ผู้ใช้ mSecure: เปลี่ยน master password ของ mSecure และระวังอีเมลที่อ้างว่ามาจาก mSecure ซึ่งขอให้คลิกลิงก์หรือล็อกอิน เพราะเหตุแบบนี้มักตามด้วยฟิชชิง
  • ผู้ใช้ mSecure: ตรวจประวัติการล็อกอินของบัญชีสำคัญหาอุปกรณ์หรือตำแหน่งที่ไม่รู้จัก
  • องค์กรที่ให้พนักงานใช้ mSecure: รวบรวมรายชื่อบัญชีระบบงานที่อาจถูกเก็บไว้ใน mSecure แล้วบังคับเปลี่ยนรหัสผ่านและ MFA ของบัญชีเหล่านั้น
  • ระยะยาว: ติดตามประกาศจาก mSeven ก่อนตัดสินใจว่าจะใช้ต่อหรือย้ายไปตัวจัดการรหัสผ่านอื่น และพิจารณาแยกการเก็บ seed 2FA ออกจากคลังรหัสผ่านสำหรับบัญชีสำคัญ

แหล่งอ้างอิง