A Brevo, plataforma de e-mail marketing usada por empresas de todo porte (e que até 2023 se chamava Sendinblue), confirmou ter sido alvo de um ataque à cadeia de suprimentos que espalhou código malicioso por mais de 100 mil sites. O alcance foi medido pela empresa de segurança Sansec, que publicou a análise do caso.
Como a invasão funcionou
Os criminosos não precisaram mexer nos servidores centrais da Brevo. Eles acharam uma chave de acesso com poder de administrador gravada no código-fonte da aplicação e, com ela, criaram regras na camada de distribuição de conteúdo, operada pela Cloudflare, para alterar os scripts no caminho entre a Brevo e o navegador de quem visitava os sites clientes.
O ataque foi preparado em etapas. Em 10 de setembro, uma falha na autenticação corporativa deu acesso a 138 contas de clientes; 43 tiveram listas de contatos exportadas e seis foram usadas para disparar e-mails falsos. No dia 14, a chave administrativa entrou em ação e o código adulterado circulou por cerca de cinco horas e meia, até a Brevo revogar as credenciais. Os domínios usados pelos invasores saíram do ar no dia 15.
Duas vítimas diferentes
O script mirava dois públicos. Em sites WordPress com widgets da Brevo, ele aproveitava a sessão aberta do administrador para instalar plugins maliciosos em segundo plano, deixando uma porta dos fundos que sobrevive mesmo depois da limpeza dos widgets. Já para visitantes comuns e para quem clicava em links de campanhas de e-mail, surgia uma falsa verificação “sou humano”, que pedia atalhos de teclado do Windows para colar e executar um comando no terminal. É a técnica conhecida como ClickFix, e o comando baixava malware.
Em comunicado, a Brevo reconheceu que falhou em proteger o acesso que os clientes lhe confiaram, pediu desculpas e informou ter registrado queixa às autoridades.
Por que isso importa
A Brevo tem muitos clientes no Brasil, de pequenos e-commerces a agências. Quem administra site WordPress com integração da plataforma deve conferir a lista de plugins e os logs de acesso de 14 de setembro. E para qualquer internauta vale a regra de ouro: nenhum captcha legítimo pede para você abrir o terminal e colar um comando.
