Brevo-Lieferkettenangriff schleuste ClickFix-Malware über einen gestohlenen Cloudflare-Schlüssel ein

Brevo, das französische Unternehmen für Kundenbeziehungsmanagement und E-Mail-Marketing, früher bekannt als Sendinblue, hat bestätigt, dass Angreifer einen Cloudflare-API-Schlüssel gestohlen und damit ClickFix-Malware in die eigenen Websites und in JavaScript injiziert haben, das Tausende Kunden auf ihren eigenen Seiten einbetten. Die Manipulation geschah am CDN-Edge und dauerte am 14. September 2026 rund fünfeinhalb Stunden, laut Brevo-Nachbereitung und einer unabhängigen Analyse der niederländischen Sicherheitsfirma Sansec.

Zum Weiterlesen: Angreifer schleusten eine Backdoor über die eigenen Update-Server von AOMEI Backupper ein · Capcom meldet Datenpanne mit 11,7 Millionen Datensätzen und 196 geänderten Passwörtern.

Die Offenlegung ist über einen einzelnen Anbieter hinaus von Bedeutung. Ein einziges langlebiges Zugangsmittel im Quellcode einer Marketingplattform verschaffte einem Angreifer Schreibzugriff auf die Edge-Schicht, die vor geschätzt 100.000 Kundenwebsites sitzt. Das ist das prägende Risiko eingebetteter Skripte Dritter: Eine Kompromittierung stromaufwärts wird von jeder Seite geerbt, die dem Tag des Anbieters vertraut.

Was Brevo bestätigt hat

Brevo zufolge war ein langlebiger Cloudflare-API-Schlüssel mit vollen Kontorechten im Quellcode der Anwendung fest verdrahtet und gelangte in die Hände des Angreifers. Damit konnte der Angreifer Cloudflare Workers, Routen und DNS-Einträge über Brevos Zonen hinweg anlegen, ohne einen Alarm auszulösen, schrieb das Unternehmen in seiner Nachbereitung.

Der bösartige Worker schrieb Antworten um, während sie Cloudflare passierten. Das bedeutete, dass die Ursprungsserver und Dateien von Brevo nie verändert wurden. Der Worker entfernte zudem Sicherheitsheader wie die Content-Security-Policy, so das Unternehmen, sodass übliche Integritätsprüfungen nichts bemerkten. Brevos Untersuchung deutet darauf hin, dass der Schlüssel erstmals Ende August 2026 missbraucht wurde, fand aber vor dem 14. September keine bösartige Injektion.

Brevos Zeitachse setzt das gesamte Wirkfenster zwischen 15:01 und 20:30 UTC, eine Spanne von 5 Stunden und 29 Minuten. Der Worker wurde um 15:01 auf ganz brevo.com geleitet, dann um 16:07 aktualisiert, um einen Loader an drei eingebettete JavaScript-Dateien anzuhängen und sibforms.com abzudecken. Brevo entfernte den Worker und seine Routen um 20:30 und erklärte, man habe den Schlüssel und alle damit erstellten Zugangsmittel widerrufen, Angreifer-Hostnamen gelöscht, Edge-Caches geleert und das fest verdrahtete Zugangsmittel durch eng begrenzte, kurzlebige Token ersetzt.

Betroffene Domains und Skripte

Brevo listet als betroffene Oberflächen brevo.com, sendinblue.com, die Subdomains login, account, my und onboarding von brevo.com sowie sibforms.com. Bei den drei kundeneingebetteten Dateien handelte es sich um das Brevo-Formularskript, das Brevo-Conversations-Chat-Widget und den Brevo-SDK-Loader.

Sansec, das die Kampagne zuerst meldete, dokumentierte den injizierten Code und nannte zwei Dateien direkt: https://cdn.brevo.com/js/sdk-loader.js und https://conversations-widget.brevo.com/brevo-conversations.js. In beiden Fällen erhielt die manipulierte Datei eine kurze Funktion, die ein neues Skriptelement erzeugte und Malware von einem rotierenden Hostnamen cdn*.sendibt1.com lud. Sansec merkte an, dass sendibt1.com Brevo gehört und von Brevo betrieben wird, und dass am 25. August ein Zertifikat für cdn.sendibt1.com erstellt wurde, was laut Sansec zeigt, dass der Angreifer Schreibzugriff auf Brevos DNS hatte.

Die beiden Firmen beschreiben leicht abweichende Zeitfenster. Sansec beobachtete die erste bösartige sdk-loader.js um 16:05:18 UTC und die letzte Malware-Aktivität von einer Brevo-Domain um 20:12:53 UTC. Brevo beschreibt die Injektionsphase als bis 20:30 laufend. Beide stimmen darin überein, dass die Aktivität vorbei ist: Sansec erklärte, jeder bösartige Host habe am 15. September aufgehört aufzulösen, und die Ursprungsdateien seien sauber; Brevo erklärte, eine unabhängige Prüfung habe bestätigt, dass alle betroffenen Seiten und Skripte bis 20:42 am 14. September sauber waren.

Brevo betonte, dass app.brevo.com, die API, der E-Mail-Versand und die bei Brevo gespeicherten Kundendaten nicht betroffen waren. Bösartige Inhalte wurden unterwegs hinzugefügt, nicht an der Quelle gespeichert.

Was Besucher und Kunden sahen

BleepingComputer berichtete, Brevo habe die Kampagne bestätigt, und Sansec erklärte, der Angriff habe Besuchern von Brevos eigener Seite und mehr als 100.000 Kundenseiten, die Brevo-Komponenten einbetten, Malware ausgeliefert. Die Zahl 100.000 stammt aus Sansecs Scan öffentlicher Webdaten, nicht von Brevo, und ist als Schätzung der Exposition zu lesen, nicht als Zahl bestätigter Infektionen.

Die Malware hatte zwei Verhaltensweisen. Wenn ein gewöhnlicher Besucher eine betroffene Seite lud, zeigte sie ein bildschirmfüllendes ClickFix-Overlay: eine gefälschte Cloudflare-Aufforderung „Bestätigen Sie, dass Sie ein Mensch sind“, die die Person anwies, Win+R, dann Strg+V, dann Enter zu drücken. Brevos Bericht zufolge lag bereits ein Befehl in der Zwischenablage, sodass das Befolgen der Schritte Angreifercode ausführte und Malware auf den Windows-Rechner des Besuchers lud. Das Overlay wurde selektiv gezeigt, viele Besucher und Wiederholungsbesucher sahen also nichts.

Wenn der Besucher als Administrator bei WordPress angemeldet war, versuchte dasselbe Skript laut Sansec stattdessen, über die eigene Sitzung des Administrators ein Plugin von https://cdn10.sendibt1.com/p/wm.zip zu installieren. Sansec konnte das Archiv nicht abrufen. BleepingComputer fand später eine Kopie auf VirusTotal und berichtete, sie gebe sich als WordPress-Plugin namens „Web Media Optimizer“ aus, fungiere aber als persistente Hintertür und JavaScript-Loader, verstecke sich vor der Plugin-Liste und kopiere sich selbst in das Verzeichnis der Must-Use-Plugins. Sansecs Empfehlung lautet, das Plugin-Verzeichnis auf der Festplatte mit dem Admin-Bildschirm zu vergleichen, weil sich ein Plugin vor diesem Bildschirm verstecken kann.

ClickFix, erklärt

ClickFix ist eine Social-Engineering-Technik, kein Software-Exploit. Die Seite imitiert eine vertrauenswürdige Marke, meist Cloudflare oder einen Captcha-Anbieter, und zeigt einen Verifizierungsschritt, der vom Nutzer verlangt, lokal einen Befehl auszuführen. Weil der Nutzer die Aktion selbst vornimmt, kommt die Malware über einen legitimen Pfad, den automatische Blockierungen und Browser-Warnungen nicht stoppen sollen.

Der Angriff baute zudem ein echtes Cloudflare-Kontrollkästchen in den Köder ein, sodass einem Besucher, der eine echte Challenge bestand, die gefälschte Nachfrage gezeigt werden konnte. Das senkte die Skepsis genau in dem Moment, in dem der Nutzer am ehesten Folge leisten würde.

Mehrere Eigenschaften des Falls Brevo machten ClickFix wirksam. Die gefälschte Aufforderung erschien auf der Domain des Anbieters selbst oder auf der Domain eines Kunden, die Adressleiste sah also richtig aus. Das Malware-Skript lief zuletzt in der Loader-Kette, eine Stichprobe der ersten Zeilen des Widgets zeigte also nichts Ungewöhnliches. Das Kit weigerte sich außerdem, für Crawler, Entwickler und automatisierte Scanner aktiv zu werden, was die Erkennung verzögerte und die Chance senkte, dass ein Sicherheitswerkzeug dieselbe Seite sah wie ein Mensch.

Warum eingebettete Marketing-Skripte ein systemisches Risiko sind

E-Mail- und Marketingplattformen besetzen eine Position, die nur wenige andere Anbieter haben. Ihr JavaScript läuft auf Kundenwebsites, und ihre gehosteten Formulare und Abmeldeseiten erhalten Traffic von jedem Empfänger einer Kampagne. Wird die Edge-Schicht einer Plattform kompromittiert, reicht der Radius bis zur Kundschaft der Plattform, nicht nur bis zur Plattform selbst.

Sansecs Bericht macht die Verstärkung explizit: Ein Besucher oder E-Mail-Empfänger musste nur auf einer von Brevo gehosteten Abmelde- oder Formularseite landen oder einen Tracker oder ein Chat-Widget eines Kunden laden. Kein gestohlenes Kundenzugangsmittel war nötig, um einen Endnutzer zu erreichen. Das macht aus einem einzigen gestohlenen API-Schlüssel eine Kampagne gegen Hunderttausende Seiten.

Die Architektur der Kompromittierung verschärft das operationelle Problem. Weil der bösartige Code in einem Cloudflare Worker saß und Antworten auf dem Weg nach außen veränderte, sah eine Dateiintegritätsüberwachung am Ursprung ein sauberes Dateisystem. Brevos eigene Nachbereitung merkt an, der Worker habe den Content-Security-Policy-Header entfernt, eine der Kontrollen, die hätten begrenzen können, was ein injiziertes Skript tun darf. Eine Abwehr, die von derselben Schicht durchgesetzt wird, die ein Angreifer kontrolliert, ist keine besonders gute Abwehr.

Der frühere SSO-Vorfall und das Trezor-Phishing

Der Cloudflare-Kompromittierung ging ein separater Vorfall voraus, den Brevo am 10. September 2026 offenlegte. In diesem Fall nutzte ein Angreifer laut Brevo aus, wie die Plattform SAML-Single-Sign-on handhabt, um 138 Konten zu erreichen, wobei der Zugriff nicht richtig auf die Organisation beschränkt wurde, in der SSO aktiviert war. Brevo zufolge verschickte der Angreifer Phishing-Nachrichten an Adressen, die unter sechs kompromittierten Konten gespeichert waren, und exfiltrierte Kontakte aus 43 Konten.

Ein namentlich bekanntes Opfer war der Hardware-Wallet-Hersteller Trezor, der Brevo für Newsletter nutzt. SecurityWeek berichtete, Trezor zufolge hätten die Phishing-Mails rund 347.000 Kunden-E-Mail-Adressen erreicht und etwa 2.500 Nutzer hätten auf den Link geklickt, bevor die bösartige Seite rund 20 Minuten nach Entdeckung offline genommen wurde. Trezor warnte, die Eingabe eines Wallet-Backups auf der Seite könne Kunden ihre Guthaben kosten. SecurityWeek merkte an, unklar sei, wie viele Nutzer Geld verloren und wie viel.

Diese Unterscheidung zählt. Eine große Phishing-Reichweite und eine kleinere Zahl von Klicks sind nicht dasselbe wie bestätigte Wallet-Verluste. Bestätigt sind 347.000 adressierte Adressen und mindestens 2.500 Klicks. Die Zahl kompromittierter Wallets ist öffentlich nicht geklärt, und Berichte sollten sie nicht als gesichert behandeln. SecurityWeek berichtete außerdem, der Krypto-Hardwarehersteller BitBox und das Steuertool CoinTracking schienen betroffen gewesen zu sein, ohne dass diese Firmen Brevo als Quelle nannten.

Brevo beantwortete die Fragen von BleepingComputer nicht, ob der SSO-Vorfall und die Cloudflare-Kompromittierung zusammenhängen. Die beiden Ereignisse liegen vier Tage auseinander und betreffen beide den Zugang zu Brevos eigener Infrastruktur, doch keine öffentlichen Belege verbinden sie.

Lehren für Verteidiger

Der Fall Brevo bestärkt eine Reihe von Kontrollen, die für jede Organisation mit Edge-, Cloud- oder SaaS-Präsenz gelten.

Zugangsmittel-Hygiene steht an erster Stelle. Der gestohlene Schlüssel war langlebig, breit gefasst und im Quellcode gespeichert. Brevos eigene Behebung ist lehrreich: Geheimnisse in einen verwalteten Speicher verlagern, sie automatisch rotieren und eng begrenzte, kurzlebige Token ausgeben. Brevo erklärte, man führe HashiCorp Vault als einzigen Speicher für Cloudflare-Schlüssel und -Token ein, alarmiere bei jedem Cloudflare-Audit-Ereignis, das Workers, Routen, DNS oder Kontozugriff ändert, und streame Cloudflare-Logs in die eigene Sicherheitsüberwachung.

Verschaffen Sie sich einen Überblick über Ihre Skripte Dritter. Eine Seite kann ein Skript nicht verteidigen, von dem sie nicht weiß, dass sie es lädt. Jedes eingebettete Tag ist eine Vertrauensentscheidung, und die Sicherheitslage des Anbieters wird Teil der Angriffsfläche des Kunden.

Begrenzen Sie JavaScript Dritter, wo die Plattform es unterstützt. Subresource Integrity bindet ein Skript an einen bekannten Hash, sodass eine ausgetauschte Datei nicht lädt, auch wenn das bei häufig aktualisierten Skripten schwer anzuwenden ist. Eine strikte Content-Security-Policy begrenzt, welche Domains ausführen dürfen, und blockiert Inline-Injektion. Beides erhöht die Kosten und verkürzt das Fenster gegenüber einem Angreifer, der das Edge kontrolliert.

Erkennen Sie am Edge, nicht nur am Ursprung. Weil die Brevo-Kompromittierung die Ursprungsdateien unangetastet ließ, reichten Dateihashes allein nicht aus. Die Überwachung gerenderter Antworten, das Achten auf unerwartete Header-Änderungen und das externe Scannen öffentlicher Seiten und Skripte hätten bessere Chancen, eine Umschreibung unterwegs zu entdecken.

Was Brevo-Kunden tun sollten

Brevos Empfehlung ist direkt. Wer den eingefügten Befehl ausgeführt hat, sollte den Rechner als kompromittiert behandeln, ihn trennen, einen vollständigen Virenscan laufen lassen und die darauf verwendeten Passwörter ändern, beginnend mit dem Brevo-Passwort. WordPress-Administratoren, deren Seiten Brevo-Skripte laden und die diese Seiten am 14. September angemeldet besucht haben, sollten nach an diesem Tag installierten oder aktivierten Plugins suchen, Verdächtiges entfernen und Administrator-Passwörter rotieren. Kunden, die sich an diesem Tag über brevo.com bei Brevo angemeldet haben, wird vorsorglich geraten, ihr Passwort zu ändern und ihre API-Schlüssel zu prüfen.

Brevo erklärte außerdem, das Conversations-Widget, das SDK und die Formulare seien sicher nutzbar, weil sie an ihrer Quelle nie verändert wurden, und App, API, E-Mail-Zustellung und Kontodaten seien nicht betroffen.

Was zu beobachten ist

Zwei Fragen bleiben offen. Die erste ist, ob der Cloudflare-Schlüsseldiebstahl mit dem SSO-Vorfall vom 10. September zusammenhängt, was Brevo öffentlich nicht beantwortet hat. Die zweite ist die endgültige Summe bestätigter Wallet-Verluste aus dem Trezor-Phishing, die Trezor und Sicherheitsforscher bislang offengelassen haben.

Vorerst ist die klarste Lehre struktureller Natur. Eine Marketingplattform sitzt in der Vertrauenskette einer riesigen Zahl von Websites und Postfächern, und ein einziges geleaktes Zugangsmittel an ihrem Edge kann dieses Vertrauen gegen alle stromabwärts richten. Die Behebung ist nicht eine Kontrolle, sondern mehrere: kurzlebige, eng begrenzte Geheimnisse, durchgesetzte Skriptintegrität, Sichtbarkeit am Edge und ein aktuelles Verzeichnis jedes Drittanbieter-Tags, das eine Seite lädt.

Titelbild: Das Brevo-Logo. Bild von Brevo via Wikimedia Commons (CC BY-SA 4.0).