Piratage de Brevo : comment une clé compromise a menacé plus de 100 000 sites

Vous n’avez peut-être jamais ouvert un compte Brevo, mais vous avez sans doute déjà croisé ses formulaires et ses e-mails. Basée à Paris, l’entreprise fournit des outils d’emailing et de marketing à plus de 600 000 organisations, de Louis Vuitton à eBay en passant par Carrefour. Quand un prestataire de cette taille se fait pirater, l’onde de choc dépasse ses propres serveurs et atteint les visiteurs de tous les sites qui affichent ses scripts.

Concrètement, les attaquants n’ont pas eu besoin de forcer les serveurs de Brevo. Ils ont mis la main sur une clé API Cloudflare aux permissions très larges, restée codée en dur dans le code de l’entreprise. Avec elle, ils ont créé un « Cloudflare Worker » malveillant, un petit programme qui modifie le contenu directement au niveau du réseau de diffusion (le CDN qui sert les fichiers aux internautes). Pendant environ cinq heures et demie ce 14 septembre, plusieurs pages de Brevo et des fichiers JavaScript intégrés chez ses clients ont ainsi distribué du code contrôlé par les pirates.

Le piège reposait sur une technique baptisée ClickFix, de plus en plus prisée des cybercriminels. Un faux écran de vérification, imitant un contrôle Cloudflare ou un CAPTCHA, invitait le visiteur à taper une combinaison de touches, puis à coller et exécuter une commande sur son ordinateur. En suivant ces instructions, l’internaute lançait lui-même le logiciel malveillant, sans qu’aucune faille de son navigateur soit exploitée. Brevo conseille à toute personne ayant joué le jeu de considérer sa machine comme compromise, de lancer une analyse antivirus complète et de changer ses mots de passe.

Une protection complète de votre vie numérique.

Protégez votre vie numérique et vos appareils contre les virus, arnaques, ransomwares et menaces en ligne avec Bitdefender, primé pour sa protection et compatible avec Windows, Mac, Android et iOS.

Sponsorisé

Offre spéciale -50%

Les administrateurs WordPress dans le viseur

Le code réservait un sort particulier à un profil précis : les administrateurs WordPress connectés à leur propre site. Quand le script en repérait un, il tentait d’installer en silence un plugin malveillant présenté sous le nom anodin de « Web Media Optimizer ». Ce module savait se cacher de la liste des extensions, se recopier ailleurs et générer une session administrateur sans connaître le mot de passe du compte. Une porte dérobée capable de garder la main sur le site bien après la fin de l’attaque.

Si un administrateur s’est connecté à son site WordPress ce 14 septembre, mieux vaut vérifier les extensions installées ou activées ce jour-là, les supprimer au moindre doute, puis changer les mots de passe et contrôler les clés API.

Ce chiffre de 100 000 sites demande une nuance. Il vient des chercheurs de la société de cybersécurité Sansec, qui ont mis au jour l’ampleur de l’attaque et estiment ce nombre de sites intégrant des ressources Brevo. Il mesure donc le périmètre de diffusion potentielle du code piégé. Tous ces sites n’ont pas été infectés pour autant, et tous leurs visiteurs n’ont pas exécuté le malware. Brevo assure de son côté que son application principale, son API et les données de ses clients n’ont pas été touchées.

Deux piratages en cinq jours

Cette attaque tombe d’autant plus mal que Brevo sortait à peine d’un autre incident. Le 10 septembre, l’entreprise a repéré une faille dans sa gestion du SSO SAML (le système qui permet de se connecter à plusieurs services avec un seul identifiant) ouvrant l’accès à 138 comptes clients. Six ont servi à envoyer de vrais e-mails de phishing et les contacts de 43 comptes ont été exportés, selon le compte rendu publié par Brevo. Des clients connus, comme le fabricant de portefeuilles crypto Trezor, ont vu de fausses alertes de sécurité partir depuis leur infrastructure légitime. Les deux incidents sont, à ce stade, présentés comme distincts.

Ce nouvel épisode s’ajoute à une série qui n’en finit plus. Depuis cet été, la France collectionne les piratages retentissants : l’administration fiscale a confirmé le vol des données de près de 700 000 contribuables, l’Éducation nationale a vu sa rentrée paralysée, le fichier Zéro Logement Vacant a laissé fuiter 48 millions de propriétaires et le Drive d’Intermarché a exposé 2 millions de clients. Free, de son côté, a longtemps minimisé son piratage géant de 24 millions d’abonnés.

Et le rythme ne faiblit pas en septembre. Une mutuelle étudiante s’est fait dérober 450 000 IBAN, une plateforme d’accompagnement des malades du cancer a été visée, et Revolut fait face à un chantage sur des centaines de dossiers d’identité. Dans le dossier du fisc, la justice a même remis la main sur un adolescent de 18 ans qu’elle connaissait déjà, pendant que des centaines de victimes attaquent l’État.

Brevo affirme avoir coupé l’accès des pirates, révoqué la clé compromise et renforcé son infrastructure, et les domaines malveillants ne répondaient plus dès le 15 septembre. L’affaire rappelle la force d’une attaque dite de la chaîne d’approvisionnement. En compromettant un seul prestataire, des pirates touchent d’un coup les sites et les visiteurs de milliers de clients, sans en attaquer aucun directement. Si vous gérez un site avec des composants Brevo, contrôlez vos extensions et vos clés API avant de refermer le dossier.

Les bons réflexes en cas de piratage

Si vous avez été victime d’un piratage ou d’une fuite de données, quelques bonnes pratiques sont à garder en tête pour mieux vous protéger. Frandroid en a fait une liste :

• Changer sans attendre les mots de passe des comptes concernés ;
• En profiter pour changer aussi les mots de passe identiques ou similaires sur d’autres services ;
• Utiliser des mots de passe uniques et solides (avec, pourquoi pas, un gestionnaire de mots de passe) ;
• Activer la double authentification (2FA) partout où c’est possible ;
• Activer les Passkeys quand c’est possible ;
• Dans les semaines à venir, se méfier des emails, SMS ou appels suspects, même s’ils semblent crédibles ;
• Ne jamais cliquer sur un lien ou télécharger une pièce jointe en cas de doute ;
• Prévenir ses contacts si le piratage peut les concerner ;
• Mettre à jour ses appareils et logiciels pour corriger d’éventuelles failles de sécurité ;
• En cas de virements frauduleux, faire un signalement sur la plateforme Perceval.