Brevo, saldırganların çalınan bir Cloudflare API anahtarını kullanarak kendi sitelerine ve müşteri sitelerinde gömülü JavaScript dosyalarına kötü amaçlı ClickFix komut dosyaları yerleştirdiğini doğruladı. Komut dosyaları kötü amaçlı yazılım dağıtmak için kullanıldı.
Brevo'nun olay sonrası raporuna göre saldırganlar, 14 Eylül 2026'da yaklaşık beş buçuk saat boyunca CDN uç noktasındaki içeriği değiştiren kötü amaçlı bir Cloudflare Worker oluşturdu. Açıklık dönemi 16:07-20:30 UTC arasındaydı. brevo.com, sendinblue.com, login/account/my/onboarding.brevo.com ve sibforms.com sayfalarının yanı sıra Brevo forms, Brevo Conversations widget'ı ve Brevo SDK yükleyici komut dosyaları etkilendi.
Brevo, uzun ömürlü anahtarın tam hesap izinlerine sahip olduğunu ve uygulama kaynak koduna sabit olarak yazıldığını söyledi. Şirket, app.brevo.com'un, API'sinin, e-posta teslim altyapısının ve müşteri hesap verilerinin etkilenmediğini belirtti. Anahtarın ağustos sonu gibi erken bir tarihte ele geçirilmiş olabileceğini, ancak daha önce kötü amaçlı etkinlik kanıtı bulunmadığını da söyledi.
Güvenlik şirketi Sansec, saldırının 100.000'e kadar web sitesini etkilemiş olabileceğini bildirdi. Saldırının 14 Eylül 2026'da 16:05-20:13 UTC arasında başladığını ve kötü amaçlı alt alan adlarının 15 Eylül 2026'da çözümlemeyi bıraktığını belirtti.
WordPress sitelerinde kötü amaçlı yazılım, “Web Media Optimizer” adlı bir eklenti gibi görünen bir arka kapı yükleyebiliyordu. Brevo, bu olayın 10 Eylül'de açıklanan ayrı bir SSO ihlaliyle bağlantılı olup olmadığını söylemedi. Trezor, 11 Eylül'de kimlik avının 347.000 e-posta adresine ulaştığını ve en az 2.500 kullanıcıyı etkilediğini bildirdi.
Yorumlar
0Henüz yorum yok. İlk yorumu siz yazın.