Der Angriff auf Brevo verlief in zwei Etappen. Am 10. September verschaffte sich ein Angreifer über eine Schwachstelle in der SAML-SSO-Verarbeitung der Plattform Zugang zu 138 Kundenkonten – eines davon gehörte dem Anbieter von Kryptowährungs-Hardware-Wallets Trezor. Aus sechs Konten wurden Phishing-Mails versendet, bei 43 Konten exportierten die Angreifer die hinterlegten Kontaktdaten. Brevo schloss den unbefugten Zugang nach eigenen Angaben.
Vier Tage später kehrten die Angreifer mit einem anderen Werkzeug zurück. Mit einem kompromittierten, langlebigen Cloudflare-API-Schlüssel rollten sie einen Worker aus, der Schadskripte in die Domains brevo.com und sibforms.com einschleuste – und zusätzlich in drei JavaScript-Dateien, die Brevo-Kunden auf ihren eigenen Seiten einbetten. Damit erreichte der Code die Besucher zahlloser fremder Websites.
Das Skript spielte ausgewählten Besuchern eine gefälschte Cloudflare-Seite mit der Aufforderung „Bestätigen Sie, dass Sie ein Mensch sind“ aus. Diese wies die Nutzer an, einen Befehl auf dem eigenen Rechner einzufügen und auszuführen – eine Social-Engineering-Masche, die als ClickFix bekannt ist. „Das Skript zeigte ausgewählten Besuchern eine gefälschte Cloudflare-Seite zur Verifizierung, die sie anwies, einen Befehl auf ihrem Computer einzufügen und auszuführen“, beschreibt Brevo das Vorgehen.
Auf WordPress-Seiten, die ein Brevo-Widget einbinden, ging der Code noch einen Schritt weiter: War der Besucher als Administrator angemeldet, versuchte das Skript, ein Plugin zu installieren und auszuführen.
Der bösartige Worker war laut Brevo rund fünfeinhalb Stunden aktiv, bevor das Unternehmen ihn entfernte und den betroffenen API-Schlüssel sowie weitere Zugangsdaten widerrief. Zur Vorgeschichte des Schlüssels erklärte Brevo: „Unsere Untersuchung deutet darauf hin, dass der Schlüssel erstmals Ende August 2026 missbraucht wurde. Wir haben vor dem 14. September keine Einschleusung von Schadinhalten in kundenseitige Seiten festgestellt.“
Die Sicherheitsfirma Sansec beziffert die Auslieferungsdauer der Schadsoftware auf etwa vier Stunden und schätzt, dass wahrscheinlich mehr als 100.000 Websites betroffen waren. Sansec empfiehlt, sämtliche Seiten mit Brevo-Einbindung auf eine mögliche Kompromittierung zu prüfen. Administratoren sollten insbesondere nach unbefugt installierten Plugins suchen; Besucher, denen die gefälschten Verifizierungsseiten angezeigt wurden, sollten ihre Rechner auf Schadsoftware untersuchen.
„Brevo liefert keinen Schadcode mehr aus. Ihre WordPress-Seite könnte jedoch mit einer Hintertür versehen worden sein, und Ihre Kunden könnten auf den ClickFix-Betrug hereingefallen sein“, warnt Sansec.