Ein schwerwiegender Sicherheitsvorfall beim E-Mail-Marketing-Anbieter Brevo (ehemals Sendinblue) hat massive Auswirkungen auf das Web: Durch einen geleakten Cloudflare-API-Schlüssel gelang es Angreifern, Schadcode in JavaScript-Dateien einzuschleusen, die von zahlreichen Webseitenbetreibern eingebunden werden.
Laut Sicherheitsforschern von Sansec waren über 100.000 Websites von dem Vorfall betroffen. Die Angreifer nutzten den Zugriff, um Besucher der betroffenen Seiten in eine sogenannte ClickFix-Kampagne zu verwickeln. Dabei wurden gefälschte Captchas angezeigt, die Nutzer aufforderten, eine Tastenkombination auszuführen, welche unwissentlich Befehle zum Download von Malware auslöste.
Zusätzlich wurden bei angemeldeten WordPress-Administratoren automatisch bösartige Plugins im Hintergrund installiert, um dauerhafte Hintertüren auf den Systemen einzurichten. Brevo hat den kompromittierten Schlüssel nach Bekanntwerden widerrufen und kündigte an, API-Keys künftig über HashiCorp Vault zu verwalten. Betroffene Seitenbetreiber und Besucher sollten ihre Systeme umgehend untersuchen.