Brevo נפרצה: הסקריפטים שלה הפיצו נוזקה לאתרי לקוחות וניסו להתקין תוסף זדוני ב-WordPress
ב-14 בספטמבר הזריק תוקף קוד זדוני לסקריפטים של Brevo שמוטמעים ביותר מ-100 אלף אתרים, לפי Sansec. גולשים קיבלו מסך ClickFix, ומנהלי WordPress מחוברים היו בסכנה להתקנת דלת אחורית.
TL;DR בקצרה
- תוקף השתמש במפתח API של Cloudflare שנשמר בקוד המקור של Brevo, והזריק סקריפט זדוני לאתרים ולווידג׳טים שלה במשך כחמש וחצי שעות ב-14 בספטמבר 2026.
- לפי Sansec, יותר מ-100 אלף אתרים מטמיעים את הסקריפטים של Brevo, ולכן יכלו להגיש את הנוזקה בלי שבעליהם שינו דבר.
- גולשים ראו מסך ״אימות אנושי״ מזויף שביקש להריץ פקודה, ומנהלי WordPress מחוברים היו חשופים להתקנה שקטה של תוסף זדוני.
- Brevo ממליצה לבדוק תוספים שהותקנו ב-14 בספטמבר ולהחליף סיסמאות במחשבים שבהם הורצה הפקודה.
יש באתר שלכם טופס הרשמה לניוזלטר, צ׳אט או קוד מעקב של Brevo? ב-14 בספטמבר 2026 האתר עלול היה להגיש לגולשים נוזקה. תוקף השתלט על חלק מהתשתית של Brevo, פלטפורמת הדיוור שנקראה בעבר Sendinblue. הוא הזריק קוד זדוני לסקריפטים שלקוחותיה מטמיעים באתרים שלהם.
חברת האבטחה Sansec חשפה את המתקפה ב-16 בספטמבר. היא מעריכה שמעל 100 אלף אתרים מטמיעים את הסקריפטים של Brevo. החברה אישרה את האירוע בדוח מפורט.
מפתח אחד בקוד המקור של Brevo, וחמש וחצי שעות של קוד זדוני
לפי דוח האירוע של Brevo, התוקף השיג מפתח API של Cloudflare, עם הרשאות מלאות לחשבון. Cloudflare היא ספקית התשתית שמגישה את התוכן של Brevo. המפתח היה שמור בקוד המקור של אפליקציה.
בעזרתו הוא הקים Worker, קוד שרץ בשרתי הקצה של Cloudflare ומשנה את התוכן בדרך לגולש. כך הקבצים המקוריים בשרתי Brevo נשארו נקיים, וכלי הבדיקה הרגילים לא זיהו שינוי. ה-Worker אף הסיר כותרות אבטחה כמו Content-Security-Policy, שנועדו לחסום טעינת קוד זר.
הקוד הזדוני רץ בין 15:01 ל-20:30 לפי שעון UTC. כלומר, בין 18:01 ל-23:30 שעון ישראל. הוא הופיע באתר של Brevo ובטפסים שמתארחים ב-sibforms.com. הוא פעל גם בווידג׳ט הצ׳אט Brevo Conversations ובסקריפט המעקב.
לפי Brevo, התוקף השתמש במפתח לראשונה כבר בסוף אוגוסט. אבל החברה לא מצאה הזרקה לדפים של לקוחות לפני 14 בספטמבר. לפי החברה, התקיפה לא פגעה במערכת שליחת הדיוור, ב-API ובנתוני הלקוחות.
שני תרחישים: מסך ClickFix לגולשים, ותוסף שקט למנהלים
לפי הניתוח של Sansec, הקוד התנהג אחרת לפי מי שגלש. גולש רגיל קיבל, באופן סלקטיבי, מסך מלא שהתחזה לאימות של Cloudflare. המסך ביקש ממנו ללחוץ Win+R, להדביק ולהקיש Enter.
זו שיטת ClickFix: הגולש מריץ בעצמו פקודה שהועתקה ללוח ומורידה נוזקה למחשב Windows. המסך הופיע גם בקישורי ההסרה מרשימת הדיוור בתוך מיילים של קמפיינים.
התרחיש השני נגע לבעלי אתרי WordPress, והסכנה בו גדולה מזו שבתרחיש הראשון. כשמנהל שמחובר למערכת נכנס לאתר שלו, הקוד ניסה להעלות ולהפעיל תוסף. התוסף הגיע מכתובת שמחקה את Brevo. הקוד השתמש לשם כך בחיבור הפעיל של המנהל.
Sansec לא הצליחה להשיג את התוסף עצמו. אבל היא מעריכה שזו דלת אחורית. היא מזהירה שהוא עשוי להסתיר את עצמו מרשימת התוספים בממשק. הקוד גם זיהה סורקים אוטומטיים ומפתחים והציג להם גרסה תמימה, כדי להקשות על הגילוי.
למה מתקפת Brevo חשובה לכל בעל אתר
מתקפת שרשרת אספקה פוגעת בכם דרך ספק שאתם סומכים עליו. לא הייתם צריכים להתקין שום דבר או לטעות בשום דבר. מספיק שהטמעתם שורה של קוד משירות לגיטימי.
לפי CyberInsider, ב-10 בספטמבר, ארבעה ימים לפני כן, דיווחה Brevo על אירוע נוסף. באותו אירוע ניצל תוקף הגדרת התחברות יחידה (SSO) שגויה כדי להגיע ל-138 חשבונות לקוחות. כל סקריפט חיצוני באתר הוא דלת, והמפתח שלה אצל מישהו אחר.
מה זה אומר עבורכם
- בדקו את התוספים באתר: יש באתר טופס, צ׳אט או קוד מעקב של Brevo? חפשו תוסף שהותקן או התחיל לפעול ב-14 בספטמבר. בדקו גם ישירות בתיקיית wp-content/plugins בשרת. התוסף עשוי להסתיר את עצמו בממשק.
- חפשו ביומני השרת: בקשת POST לכתובת update.php?action=upload-plugin ב-14 בספטמבר. בקשה כזו, ואחריה הפעלה של תוסף, היא סימן מובהק. אם מצאתם, הסירו את התוסף והחליפו את סיסמאות המנהלים.
- אם מישהו הריץ את הפקודה: נתקו את המחשב מהרשת, והריצו סריקת אנטי-וירוס מלאה. אחר כך החליפו ממכשיר אחר את הסיסמאות ששמורות בו, החל מסיסמת Brevo.
- אם התחברתם ל-Brevo דרך האתר באותו יום: החליפו סיסמה ובדקו את מפתחות ה-API בחשבון.
- צמצמו את התלות בסקריפטים חיצוניים: אל תגלשו באתר שלכם בלי צורך אחרי שהתחברתם כמנהלים. הגדירו מדיניות CSP שמגבילה מאיפה האתר טוען קוד.
מה Brevo משנה
החברה הודיעה שהסירה את המפתח מהקוד, והחליפה אותו באסימונים מוגבלים וקצרי חיים. היא מעבירה את ניהול הסודות ל-HashiCorp Vault, עם החלפה אוטומטית. בנוסף, היא תוסיף התראות על כל שינוי ב-Workers, בכתובות וב-DNS. לפי החברה, הווידג׳טים, הטפסים והסקריפטים שלה בטוחים לשימוש מאז שהחברה סגרה את האירוע.
מקורות והרחבה
- Brevo supply chain attackSansec
- Incident write-up (572xvd8t)Brevo
- 100,000+ WordPress sites infected via Brevo supply chain attackCyberInsider
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
