Security · 18.9.2026
Ein geleakter API-Schlüssel des Newsletter-Dienstes Brevo ermöglichte großflächige Clickfix-Attacken über legitime Webauftritte.
Durch einen unzureichend gesicherten oder gestohlenen API-Schlüssel des Newsletter- und Marketing-Dienstleisters Brevo (ehemals Sendinblue) konnten Angreifer Schadcode auf weit über 100.000 legitimen Websites einschleusen. Die Cyberkriminellen nutzten den Zugriff, um sogenannte „Clickfix“-Kampagnen zu starten, bei denen Besuchern manipulierte Fehlermeldungen angezeigt werden. Diese Meldungen fordern die Nutzer auf, Tastaturkurzbefehle auszuführen, wodurch unbemerkt Schadsoftware auf den Systemen der Opfer installiert wird.
Dieser Vorfall verdeutlicht die immense Hebelwirkung von Supply-Chain-Angriffen und fehlerhaftem API-Schlüssel-Management. Da Brevo auch im DACH-Raum von zahlreichen Unternehmen, Behörden und Webseitenbetreibern zur Kundenkommunikation eingesetzt wird, ist die potenzielle Reichweite dieser Kampagne enorm. Für IT-Verantwortliche und Administratoren in Unternehmen stellt dies ein erhebliches Sicherheitsrisiko dar: Mitarbeiter, die im Arbeitsalltag auf scheinbar vertrauenswürdigen Websites surfen, können durch geschicktes Social Engineering dazu verleitet werden, schädliche PowerShell-Befehle auszuführen. Die Clickfix-Methode umgeht dabei klassische Browser-Schutzmechanismen, da die Interaktion aktiv vom Benutzer initiiert wird. Dies kann zur Kompromittierung des gesamten Unternehmensnetzwerks führen, wenn dadurch Infostealer oder Ransomware-Loader eingeschleust werden.
Administratoren und Webseitenbetreiber, die Brevo-Dienste nutzen, müssen unverzüglich aktiv werden, um ihre Systeme und Benutzer zu schützen:
Der Vorfall zeigt, dass die Sicherheit moderner Web-Infrastrukturen stark von der Absicherung nachgelagerter Schnittstellen abhängt. API-Keys müssen wie hochsensible Passwörter behandelt, restriktiv vergeben und regelmäßig erneuert werden.
Quelle: Golem Security