Brevo : une clé API volée transforme les scripts intégrés en canal ClickFix

Un identifiant capable de modifier le contenu client

Un secret volé a ouvert un accès au contenu livré aux clients de Brevo. Selon le compte rendu de Brevo, un identifiant API Cloudflare compromis a permis de déployer un Worker réécrivant le contenu destiné aux clients à la périphérie du CDN. La revue doit donc inclure les services externes autorisés à modifier ce qu’un site présente aux visiteurs.

Brevo situe l’incident global au 14 septembre 2026, de 15:01 à 20:30 UTC, soit 5h29. Cette fenêtre d’impact ne mesure pas précisément l’exposition de chaque client.

Selon Brevo, l’identifiant était inscrit en dur dans le code source de l’application et disposait des pleins droits sur le compte. Le stockage du secret et ses autorisations sont deux questions distinctes. Modifier le premier sans revoir les secondes laisserait une partie du problème sans réponse.

Des observations qui ne s’additionnent pas

Sansec estime que le code malveillant a atteint plus de 100 mille sites clients. Il s’agit de son estimation de portée, pas d’un décompte de terminaux infectés confirmé par Brevo. La présence du code sur un site ne permet pas de compter les appareils compromis ensuite.

Sansec a enregistré 2,549 rapports de violation Content Security Policy sur 12 sites, pendant et après sa propre fenêtre d’observation. Ces rapports constituent un ensemble distinct. Ils ne doivent être ni additionnés à l’estimation de sites ni assimilés à des victimes.

ADAMnetworks a trouvé des captures publiques de navigateur sur 51 domaines de pages. Ce périmètre diffère de celui de l’estimation de Sansec. Conserver les unités de mesure aide les défenseurs à comparer leurs journaux aux constats publiés.

Les modifications étaient limitées en taille : ADAMnetworks décrit un ajout de 173 ou 174 octets aux fichiers JavaScript concernés. Une variation de taille peut guider une recherche, mais ne devrait pas devenir le seul critère d’identification.

Une revue concrète pour les sites algériens

Le lien avec l’Algérie dépend des intégrations utilisées. Les faits disponibles n’établissent aucune victime algérienne. Ils justifient une revue de confiance chez les organisations qui intègrent des composants marketing externes.

Recenser les scripts et leurs responsables, puis les identifiants capables de modifier ces scripts ou leur distribution. Pour chaque autorisation, demander si elle est nécessaire, combien de temps elle reste valide et qui peut la révoquer. Préparer également l’examen ou la suspension d’une intégration concernée. L’exposition locale doit être établie à partir des éléments de l’organisation.

Brevo indique avoir remplacé l’identifiant inscrit en dur par des jetons à portée restreinte et à courte durée de vie. Cette réponse fournit une comparaison opérationnelle. La revue devrait réduire les droits et la validité des secrets capables de changer le contenu client, plutôt que se terminer par leur simple déplacement.

Questions Fréquemment Posées