Атака на цепочку поставок Brevo заразила 100 000 сайтов

Хакеры дважды взломали платформу Brevo: 10 сентября через уязвимость в SAML SSO получили доступ к 138 аккаунтам, а 14 сентября с помощью украденного API-ключа Cloudflare внедрили вредоносные скрипты в brevo.com, sibforms.com и три JS-файла клиентов. По оценке Sansec, пострадали более 100 000 сайтов, злоумышленники показывали фейковую проверку Cloudflare и заражали WordPress-админки.

• 10 сентября через SAML SSO скомпрометированы 138 аккаунтов Brevo
• 14 сентября вредоносный воркер работал около 5,5 часов
• Sansec: заражено более 100 000 сайтов, скрипт активен ~4 часа
• Атака использовала технику ClickFix с фейковой проверкой Cloudflare