mSecureで不審な活動を確認｜パスワードは流出した？変更・2段階認証・パスキーの対処法

2026年11月3日、パスワード管理アプリ「mSecure（エムセキュア）」の開発元であるmSeven Softwareが、現在および過去の利用者に対して、セキュリティ上の注意喚起メールを送信したことが明らかになりました。

通知では、mSecureに関連する不審な活動を把握したと説明し、アプリ内に保存した機密情報を保護するため、パスワードの変更、二要素認証の再設定・再登録、既存のパスキーの削除などを検討するよう求めています。

今回の警告は、著名なセキュリティジャーナリストのBrian Krebs（ブライアン・クレブス）氏もSNSで紹介しており、海外メディアのThe Hacker NewsやThe Registerが報じています。

ただし、現時点で開発元は、不審な活動の詳しい内容や影響人数、保存されたパスワードが実際に外部へ流出したかどうかを明らかにしていません。

mSecureは複数のサービスのパスワードをまとめて管理できるアプリで、最新版のmSecure 7では二要素認証用のワンタイムパスワードやパスキーも保存できます。

そのため、利用者にとっては「保存していたパスワードが漏れたのか」「すべてのパスワードを変更する必要があるのか」「二要素認証やパスキーはどうすればよいのか」といった点が重要になります。

この記事では、mSecureの利用者向け警告の内容、パスワード流出の有無、現在・過去の利用者への影響、パスワードや二要素認証・パスキーの対処法、暗号化の仕組み、開発元の調査状況について、公式資料と海外報道をもとに整理します。

mSecureで不審な活動を確認｜パスワードは流出した？変更・2段階認証・パスキーの対処法

mSecureで不審な活動を確認｜パスワードは流出した？変更・2段階認証・パスキーの対処法

パスワード管理アプリ「mSecure」を提供するmSeven Softwareは2026年11月3日、同アプリに関連する不審な活動について、利用者向けのセキュリティ通知を送信しました。

通知では、問題を把握した後、速やかに調査を開始し、影響を軽減するための措置を実施したと説明しています。また、外部のサイバーセキュリティ専門家にも協力を依頼したとしています。

しかし、何が起きたのか、どのシステムが影響を受けたのか、保存情報が実際に第三者へ取得されたのかについては、具体的に説明されていません。

まず、11月4日時点で確認できた情報を整理します。

通知日	2026年11月3日
サービス名	mSecure（エムセキュア）
開発元	mSeven Software
確認された問題	mSecureに関連する不審な活動
通知対象	現在および過去のmSecure利用者
パスワード流出	未確認
保管データの流出	未確認
マスターパスワードへの影響	未公表
二要素認証情報への影響	未公表
パスキーへの影響	未公表
影響人数	未公表
原因・侵入経路	未公表
開発元の対応	調査開始、影響軽減措置、外部専門家への協力依頼
利用者への推奨	パスワード変更、二要素認証の再設定、パスキーの削除など
調査結果	詳しい内容は未公表

今回の通知で特に注意したいのは、開発元が利用者に強いセキュリティ対策を求めている一方、パスワードや認証情報の流出が確認されたとは説明していないという点です。

つまり、利用者には早めの対応が推奨されていますが、パスワードが第三者に読まれたと確定した段階ではありません。

また、mSecureへの不正アクセスが確定したという詳しい技術的説明も、今回の通知にはありません。

今回の問題は「不審な活動を確認した」という開発元の説明を基準に、判明している事実と未確認の情報を分けて考える必要があります。

参考：mSecure公式サポート掲示板「Important Security Notice 2026-11-03」、The Hacker News「mSecure Warns Users to Change Passwords, Reset 2FA and Passkeys After Suspicious Activity」

mSecureの警告メールには何が書かれていたのか？

今回の注意喚起は、mSeven Softwareの名前で利用者に送信された「Important Security Notice（重要なセキュリティ通知）」というメールです。

メールの内容は、mSecureの公式サポート掲示板にも利用者によって転載されています。また、The Registerは実際に送られたメールを確認したうえで、11月3日に記事を公開しています。

通知では、mSecureに関連する不審な活動を最近把握したとして、社内調査を開始し、外部専門家の協力を得て対応していると説明しています。

さらに、現在または過去にmSecureを利用した人に対し、アプリ内に保存した機密情報を保護する措置を直ちに検討するよう求めています。

開発元が具体例として挙げた対策は、次の3つです。

パスワードの変更：mSecureに保存している各サービスのパスワードを変更する
二要素認証の再設定・再登録：必要に応じて認証方法を設定し直す
既存のパスキーの削除：保存しているパスキーについて必要な保護措置を検討する

ただし、今回のメールでは、どのパスワードを変更すべきなのか、すべての二要素認証を設定し直す必要があるのか、パスキーを削除する前に何をすべきなのかといった具体的な手順は示されていません。

また、不審な活動が発生した日時や、実際にどの情報が侵害されたのかについても説明されていません。

そのため、今回の通知は利用者に予防的な対応を求める内容であり、すべての保存情報が流出したことを認定する発表ではありません。

Brian Krebs氏も通知内容を紹介

今回の警告は、著名なセキュリティジャーナリストのBrian Krebs（ブライアン・クレブス）氏もSNSで取り上げています。

クレブス氏は、mSeven Softwareが利用者に対して、パスワードや二要素認証、パスキーなどの保護措置を求めている点を紹介しました。

ただし、クレブス氏が通知を紹介したことは、保存されたパスワードの流出を独自に確認したという意味ではありません。

今回の警告はThe Hacker NewsやThe Registerなどの海外セキュリティメディアでも報じられており、複数の情報源から通知の内容を確認できます。

参考：The Register「Password manager mSecure tells users to change passwords, won’t say why」（2026年11月3日）

mSecureから保存パスワードは流出したのか？原因と影響人数は未公表

今回のニュースで最も気になるのが、mSecureに保存されていたパスワードが実際に外部へ流出したのかという点です。

結論からいうと、2026年11月4日時点では、保存されたパスワードが第三者に取得されたと確認できる公式情報はありません。

開発元の通知は、不審な活動を把握したことと、利用者に機密情報の保護措置を求める内容にとどまっています。

そのため、今回の不審な活動がサーバーへの侵入だったのか、利用者のアカウントに関する問題だったのか、アプリ自体の脆弱性が悪用されたのかについては、まだ判断できません。

また、暗号化されたデータが外部へ持ち出されたのか、暗号化を解除するための情報に影響があったのかについても、具体的な説明はありません。

影響を受けた利用者は何人なのか？

mSeven Softwareは今回の通知について、送信対象を現在および過去のmSecure利用者と説明しています。

しかし、通知を送った人数や、実際に影響を受けた可能性があるアカウント数については公表していません。

また、現在の有料契約者だけが対象なのか、無料プランの利用者や過去に退会した利用者まで同じ危険があるのかについても、詳しい説明はありません。

そのため、mSecureの利用者全員について保存情報が流出したと判断することはできません。

一方、現在も利用している人だけでなく、過去の利用者にも通知が送られているため、以前mSecureを使っていた人も、当時保存していた認証情報を確認する価値があります。

保存された情報が暗号化されていれば安全なのか？

mSecureは公式のセキュリティ資料で、保存データを端末上で暗号化してから同期する仕組みを採用していると説明しています。

同社によると、AES-256による暗号化を利用しており、アカウントパスワードと端末上で生成されるAccount Key（アカウントキー）によってデータが保護されています。

また、開発元自身も利用者の保存データを復号して閲覧できない仕組みだと説明しています。

この設計が説明どおりに機能している場合、仮に暗号化されたデータが外部に取得されたとしても、それだけで保存されたパスワードの内容が直ちに第三者に読まれるとは限りません。

ただし、今回の不審な活動がどこまで及んだのか、暗号化に関係する情報や利用者の端末、アプリの動作に影響があったのかについては未公表です。

そのため、mSecureが暗号化機能を備えていることを理由に、今回の問題で保存情報が安全だったと断定することはできません。

参考：mSecure公式「mSecure’s Security Model – Secure by design」

mSecureの利用者は何をすべき？パスワード変更の優先順位

mSeven Softwareは、アプリ内に保存した機密情報について、直ちに保護措置を検討するよう利用者に求めています。

ただし、保存しているパスワードが数十件から数百件に及ぶ場合、すべてを一度に変更することは簡単ではありません。

今回の通知でも、どのサービスから変更すべきなのか具体的な順番は示されていません。

そこで、以下では開発元の注意喚起を踏まえ、一般的なアカウント保護の観点から、優先して対応したい内容を整理します。

なお、これはmSeven Softwareが公表した正式な優先順位ではなく、利用者が安全に対応するための実務上の考え方です。

① メール・銀行・決済サービスなどを優先する

最初に確認したいのは、第三者に不正ログインされた場合の影響が大きいアカウントです。

例えば、次のようなサービスが挙げられます。

メールアカウント：Gmail、Outlookなど。ほかのサービスのパスワード再設定にも使われるため重要
Apple・Google・Microsoftアカウント：端末やクラウドサービスに関係する認証情報
銀行・証券・決済サービス：金融取引や支払いに関係するアカウント
ネット通販・SNS：購入履歴、支払い設定、個人情報などに関係するアカウント
仕事・Webサイト管理：業務用メール、サーバー、ドメイン、管理画面などの認証情報

これらのサービスについて、mSecureにパスワードを保存していた場合は、各サービスの公式サイトや公式アプリから変更を検討してください。

パスワードはサービスごとに異なるものを設定し、過去に使ったものを再利用しないことが重要です。

また、変更後は不審なログイン履歴や、知らない端末からのアクセスがないか確認することもおすすめします。

なお、現在mSecureが安全に新しい認証情報を保存・同期できるかについては、今回の通知では詳しく説明されていません。新しいパスワードの管理方法についても、開発元の続報を確認しながら慎重に判断してください。

② mSecureのマスターパスワードも確認する

各サービスのパスワードとは別に、mSecure自体へログインするためのアカウントパスワード（マスターパスワード）についても確認が必要です。

ただし、今回の通知では、マスターパスワードが実際に第三者へ取得されたという説明はありません。

mSecureの公式ヘルプでは、アプリの設定画面からアカウントパスワードを変更する方法を案内しています。

主な操作方法は次のとおりです。

iPhone・Android：mSecureを開き、メニューから「Settings」→「Change Password」を選択
Mac：mSecureを開き、「File」→「Change Password」を選択
Windows：設定画面から「Security」→「Change Password」を選択

なお、これは通常時のパスワード変更手順です。今回のセキュリティ問題への対策として、どの操作が十分なのかについては、開発元から詳しい説明が出ていません。

また、mSecureの公式ヘルプによると、アカウントパスワードの変更後には新しい認証用QRコードが送信され、以前のQRコードは使用できなくなります。

複数の端末でmSecureを利用している場合は、それぞれの端末で必要な操作を確認してください。

マスターパスワードを変更することと、mSecureに保存していたGmailや銀行、SNSなどのパスワードを変更することは別の操作です。

マスターパスワードだけを変更しても、各サービスで使用しているパスワードが自動的に変更されるわけではありません。

参考：mSecure公式「Change Account Password」

③ 新しいパスワードの保存先も慎重に判断する

今回、利用者にとって判断が難しいのは、変更したパスワードを引き続きmSecureに保存してよいのかという点です。

mSeven Softwareは不審な活動への対応を進めていると説明していますが、今回の通知では、現在のアプリや同期機能の安全性について具体的な評価を示していません。

そのため、変更したパスワードを同じ保管環境に保存しても問題ないと断定することはできません。

重要なアカウントから対処する際は、各サービスの正規画面でパスワードを変更し、新しい認証情報の保管方法についても慎重に検討することが重要です。

ただし、パスワードを安全でないメモや共有ファイルなどに保存すると、別の情報漏えいにつながるおそれがあります。

開発元が安全性に関する詳しい説明を公表するまでは、認証情報をどこに保存するかについても注意が必要です。

2段階認証・二要素認証は再設定が必要？mSecure内の認証コードに注意

今回のmSecureの警告では、パスワードの変更だけでなく、二要素認証の再設定や再登録も推奨されています。

ここで注意したいのは、mSecure自体に設定している二要素認証と、mSecure内に保存している別サービスの認証情報は異なるという点です。

mSecure 7には、Gmailや各種Webサービスなどのログインに使用するワンタイムパスワードを保存・生成する機能があります。

そのため、パスワードだけでなく、二要素認証に必要な情報も同じアプリ内にまとめて保存している利用者がいます。

ただし、今回の通知では、どの種類の二要素認証を再設定すべきなのか、具体的な対象範囲は説明されていません。

mSecureに保存した認証コードはどうすればよい？

一般的に、認証アプリで表示される6桁などのワンタイムパスワードは、サービスごとに登録された秘密情報をもとに生成されています。

仮に、その秘密情報自体が第三者に知られた場合、パスワードを変更するだけでは十分な対策にならないことがあります。

ただし、今回のmSecureの不審な活動によって、実際にワンタイムパスワードの生成に必要な秘密情報が流出したとは確認されていません。

mSecure内に二要素認証の情報を保存していた場合は、必要に応じて各サービスのセキュリティ設定から、認証アプリの登録をやり直すことを検討してください。

また、mSecureとは別の認証アプリへ移行する場合も、ログインできる状態を確認しながら手続きを進めることが重要です。

認証アプリを削除する前に確認したいこと

二要素認証を再設定する際、現在の認証手段を先に削除してしまうと、サービスへログインできなくなる可能性があります。

特に、認証コードを取得する方法が1つしかない場合は注意が必要です。

再設定を行う場合は、まず公式サイトで手続き方法を確認し、必要に応じてバックアップコードや別の認証方法を利用できる状態にしてください。

新しい認証方法でログインできることを確認してから、不要になった認証情報を解除する方が安全です。

なお、今回の警告を理由に、すべてのサービスで二要素認証機能そのものを無効化したままにすることは推奨できません。

二要素認証はアカウントを保護する重要な仕組みです。必要に応じて再登録する場合も、できる限り保護を維持した状態で作業してください。

参考：mSecure公式「Two-Factor Authentication」

パスキーも削除する必要がある？ログインできなくなるリスクに注意

今回の通知では、パスワードや二要素認証に加えて、既存のパスキーを削除することも対策の一例として挙げられています。

パスキーとは、パスワードの代わりに端末の生体認証やPINなどを使ってログインする仕組みです。

mSecure 7では、対応するWebサイトやアプリのパスキーを作成し、mSecure内に保存して利用できます。

ただし、パスキーは単なる文字列のパスワードとは仕組みが異なるため、削除や再登録を行う際には注意が必要です。

また、今回の通知では、mSecureに保存されたパスキーが実際に第三者に取得されたという説明はありません。

mSecureに保存したパスキーが対象なのか？

今回、開発元が保護措置を求めているのは、mSecure内に保存した機密情報です。

mSecure 7ではパスキーをアプリ内に保存できるため、同機能を利用している人は、登録したパスキーの取り扱いを確認する必要があります。

一方、iPhoneやAndroidなどの別の認証情報管理機能に保存しているパスキーまで、今回のmSecureの問題によって影響を受けたと確認されたわけではありません。

また、古いバージョンのmSecureを利用している人についても、すべて同じパスキー機能を利用していたとは限りません。

そのため、現在自分がどのサービスのパスキーを、どのアプリや端末に保存しているのかを確認することが重要です。

パスキーを削除する前に新しいログイン手段を確保する

パスキーを削除する場合、最も注意したいのは、サービスにログインする手段を失ってしまうことです。

パスキーのみを使用してログインしているサービスでは、既存のパスキーを削除すると、再びログインできなくなる可能性があります。

そのため、削除や再登録を検討する場合は、まず対象サービスの公式サイトで、新しいパスキーを登録する方法や、別の認証手段を利用できるか確認してください。

必要なログイン手段を確保し、新しい認証方法で正常にログインできることを確認してから、古いパスキーを無効化することが重要です。

また、サービスによってはWebサイト側に登録されたパスキーの削除と、端末やパスワード管理アプリ内に保存された情報の削除が別の操作になる場合があります。

今回の通知を受けて、内容を確認せずにすべてのパスキーを一括削除することは避けた方がよいでしょう。

開発元がパスキーの削除を対策の一例として挙げていることと、利用者が直ちにすべてのパスキーを削除すべきだと確定していることは異なります。

参考：mSecure公式「How to Use Passkeys in mSecure 7」

現在はmSecureを使っても安全なのか？アプリと同期機能への影響

今回の問題を受け、mSecureを引き続き利用しても安全なのか、不安に感じる人もいるかもしれません。

しかし、11月3日の利用者向け通知では、mSecureのアプリ自体を使用しないよう求める案内や、すべての同期機能を停止するよう求める具体的な指示は確認できません。

一方、開発元がアプリやクラウド同期機能の安全性を改めて確認し、問題がないと説明したわけでもありません。

そのため、現時点では、mSecureを使い続けても安全だと断定することも、アプリを使用するだけで危険だと断定することもできません。

不審な活動の詳しい内容が公表されていないため、どの操作や機能に影響があるのか判断する材料が不足しています。

mSecure Cloud以外の同期方法なら安全なのか？

mSecureには、mSecure Cloudのほか、Dropbox、iCloud、Wi-Fiなどを利用したデータ同期方法があります。

しかし、今回の通知では、どの同期方式が影響を受けたのか、あるいは特定の同期方式だけが問題だったのかについて説明されていません。

そのため、mSecure Cloudを使っていなければ今回の問題とは無関係だと判断することはできません。

同様に、特定の同期サービスを利用していることだけで、保存されたパスワードが流出したと判断することもできません。

今後、開発元が影響を受けたシステムや同期方式を公表した場合には、その内容を確認する必要があります。

mSecureをアンインストールすれば問題は解決する？

今回の通知では、mSecureのアンインストールを利用者に求めているわけではありません。

また、仮に保存していた情報が以前に外部へ流出していた場合、現在のアプリを削除しただけで、過去に取得された情報が無効になるとは限りません。

さらに、mSecureのデータを十分に確認しないままアプリを削除すると、保存したパスワードや認証情報へアクセスできなくなるおそれがあります。

そのため、アンインストールを検討する場合も、必要な情報を安全に管理できる状態を確保し、公式ヘルプや今後の案内を確認することが重要です。

なお、アカウントの完全なリセットは保存データを失う可能性があるため、安易に実行しないよう注意してください。

参考：mSecure公式「Account password or forgotten password issues?」

以前mSecureを使っていた人も対象？通知が届かない場合の確認方法

今回のセキュリティ通知では、受信者について、現在または過去のmSecure利用者であると説明されています。

そのため、すでにmSecureを使用していない人にも通知が送られていることになります。

ただし、過去に利用した人の保存データが現在どこまで残っているのか、退会済みアカウントの情報が今回の調査対象に含まれるのかについて、具体的な説明はありません。

また、通知を受信していないことだけで、今回の問題とは無関係だったと断定することもできません。

過去にmSecureを利用していた場合は、当時保存していたパスワードが現在も使われているか、同じパスワードを別のサービスでも使っていないかを確認することをおすすめします。

すでに変更済みのパスワードについては、過去の情報がそのまま現在のログインに使えるとは限りません。ただし、過去の認証情報を使い回している場合は注意が必要です。

注意喚起メールが本物か分からない場合はどうする？

今回の通知を受け取った利用者の中には、メールが本物なのか確認したいという人もいます。

実際に、mSecureの公式サポート掲示板には、通知が正規のものなのか、どの情報が危険にさらされたのかを尋ねる投稿が掲載されています。

The Registerも利用者向けメールを確認したうえで報道していますが、今後は今回の問題に便乗した偽メールなどが送られる可能性も考えられます。

そのため、メールに記載されたリンクをそのまま開くのではなく、mSecureの公式サイトや公式サポートページへ直接アクセスして情報を確認してください。

また、パスワード変更を求める連絡であっても、不審なサイトでマスターパスワードや認証情報を入力しないことが重要です。

参考：mSecure公式サポート掲示板「Is the email from msecure about Important Security Notice real or is this a phishing mail」

mSecureの公式サポートでも説明を求める声｜今後の発表が焦点

今回の注意喚起について、mSecureの公式サポート掲示板では、利用者から詳しい説明を求める投稿が相次いでいます。

特に多いのは、保存しているパスワードをすべて変更する必要があるのか、マスターパスワードや暗号化されたデータが侵害されたのか、二要素認証やパスキーをどこまで再設定すべきなのかといった疑問です。

中には、数百件のパスワードを保存しているため、どの情報から対処すればよいのか判断できないという利用者もいます。

また、mSecureが公式に説明している暗号化の仕組みと、今回の強いセキュリティ警告がどのように関係しているのかについても、説明を求める声が上がっています。

ただし、掲示板に掲載された利用者の推測や懸念は、今回の不審な活動の原因や被害内容を確定するものではありません。

現時点では、開発元による技術的な説明や調査結果を確認する必要があります。

今後、開発元が説明する必要がある情報

今回の問題で、今後の公式発表において特に確認したいのは、次の内容です。

不審な活動が具体的に何だったのか
問題が発生した日時と検知した日時
第三者による不正アクセスが確認されたのか
利用者の保管データが外部に取得されたのか
暗号化されたデータや暗号鍵に影響があったのか
影響を受けた利用者数や対象バージョン
どのパスワードや認証情報を変更すべきなのか
mSecureのアプリや同期機能を安全に利用できる状態なのか
今後のアップデートや再発防止策

これらの情報が公表されれば、利用者が取るべき対応の範囲も、より具体的に判断できるようになります。

一方、現在は被害の詳細が明らかになっていないため、保存していた情報がすべて安全だったと判断することも、すべて流出したと判断することも適切ではありません。

mSecureの利用者は、開発元の公式サイトやサポートページで今後の説明を確認するとともに、重要な認証情報から保護措置を検討することが重要です。

まとめ｜mSecureが緊急警告、パスワード流出は未確認だが対策を推奨

2026年11月3日、パスワード管理アプリ「mSecure」の開発元であるmSeven Softwareが、現在および過去の利用者に対してセキュリティ上の注意喚起メールを送信しました。

通知では、mSecureに関連する不審な活動を把握したとして、調査を開始し、外部のサイバーセキュリティ専門家の協力を得て対応していると説明しています。

また、利用者に対して、アプリ内に保存した機密情報を保護するため、パスワードの変更、二要素認証の再設定・再登録、既存パスキーの削除などを検討するよう求めています。

ただし、2026年11月4日時点では、保存されたパスワードが実際に外部へ流出したと確認できる公式発表はありません。

不審な活動の詳しい内容や発生日時、影響人数、暗号化されたデータへの影響なども未公表です。

また、mSecureは公式のセキュリティ資料で、保存データを端末上で暗号化する仕組みを採用していると説明していますが、その仕組みが今回の問題によってどのような影響を受けたのかは分かっていません。

利用者が対応する場合は、メールアカウントや金融サービスなど、重要なアカウントのパスワードから確認することをおすすめします。

また、マスターパスワードの変更と、各サービスのパスワード変更は別の操作です。二要素認証やパスキーについても、ログイン手段を失わないよう注意しながら再設定する必要があります。

現在mSecureを使っていない人でも、過去に保存していたパスワードを今も使っている場合は、認証情報の見直しを検討する価値があります。

一方、今回の通知を受けて、すべての情報が流出したと断定したり、必要な確認をせずにパスキーやアプリを削除したりすることは避けた方がよいでしょう。

今後は、mSeven Softwareが不審な活動の原因、保存情報への影響、対象利用者、具体的な対策手順、アプリの安全性についてどのように説明するのかが重要になります。

新たな公式発表があれば、確認済みの情報をもとに更新する必要があります。

主な参考資料と確認日

情報確認日：2026年11月4日。mSecure公式サポート掲示板に利用者が転載した2026年11月3日の注意喚起メール、The Hacker NewsとThe Registerの11月3日付報道、mSecure公式のセキュリティ設計資料、パスワード変更・二要素認証・パスキーに関するヘルプページを確認しました。

今回の注意喚起はmSeven Softwareの名前で送信されたメールに基づくもので、公式サポート掲示板に掲載された文面は利用者による転載です。The Registerは実際のメールを確認したと報じています。一方、今回の調査では、開発元が独立した事故調査報告書として公表した詳しい技術的説明は確認できていません。

開発元はmSecureに関連する不審な活動を把握したと説明していますが、保存されたパスワードや認証情報の流出、暗号化されたデータや暗号鍵への影響、実際の不正アクセスの有無、影響人数などについては具体的な情報を公表していません。

パスワード変更、二要素認証の再設定・再登録、パスキー削除は開発元が利用者向け通知で挙げた保護措置です。記事内で紹介したアカウントの優先順位や、ログイン手段を確保してから認証情報を変更する方法は、一般的なセキュリティ対策として整理したものであり、開発元が今回の事案について個別に指示した手順ではありません。

今後の調査結果や開発元の説明によって、影響範囲や必要な対応が変更される可能性があります。