新聞

電子郵件行銷平臺Brevo發生供應鏈攻擊，攻擊者取得可控制Brevo Cloudflare帳號的API金鑰，在Cloudflare傳送網頁內容給訪客的過程中插入惡意JavaScript程式碼。使用Brevo表單、聊天元件等服務的客戶網站也受到影響，訪客可能看到ClickFix假驗證頁面，已登入WordPress管理員帳號的訪客還可能遭安裝攻擊者提供的外掛。Brevo記錄的整體影響時間約5個半小時。

Brevo調查發現，遭竊的API金鑰為長效期，而且具有Cloudflare帳號的完整權限，金鑰還直接寫在應用程式原始碼。攻擊者取得金鑰後，可以新增網路設定及修改網站回傳內容。攻擊者沒有更動Brevo原始伺服器上的檔案，而是在Cloudflare把網頁送到訪客瀏覽器時加入惡意程式碼，因此Brevo原本檢查伺服器檔案是否遭竄改的機制沒有發現異常。

受影響範圍包括Brevo網站、Brevo提供的網頁表單，以及客戶可嵌入網站的聊天元件和SDK載入程式。Brevo表示，主要應用程式app[.]brevo[.]com、API、電子郵件傳送功能及平臺保存的客戶帳號資料不在此次事件影響範圍。

一般訪客載入遭污染的程式碼後，可能遭遇ClickFix攻擊，頁面會偽裝成Cloudflare驗證人類畫面，要求Windows使用者開啟執行視窗，再貼上剪貼簿中的命令，使用者照做後，電腦便可能下載惡意程式。ClickFix無須利用瀏覽器漏洞，而是透過誘使使用者自行執行惡意命令，達到入侵目的。

惡意程式碼還會檢查訪客是否已登入WordPress管理員帳號，要是偵測到管理員身分，程式碼會嘗試利用現有登入權限，安裝並啟用攻擊者提供的WordPress外掛。資安業者Sansec估計，使用相關Brevo元件的網站超過10萬個，不過該數字代表可能載入受影響程式的網站規模，並非已遭安裝外掛的網站數量。

Brevo在9月14日20時30分UTC移除惡意Cloudflare Worker及相關路由，撤銷遭竊API金鑰與攻擊者利用該金鑰建立的存取憑證，也把原本寫在原始碼中的Cloudflare憑證，改成權限較小、有效時間較短的存取權杖。若WordPress網站使用Brevo元件，而且管理員9月14日曾在登入狀態下造訪網站，Brevo建議檢查當天是否出現不明外掛安裝或啟用紀錄。