Security · 17.9.2026
Angreifer haben über einen gestohlenen Cloudflare-API-Schlüssel von Brevo schädliche ClickFix-Skripte in Kunden-Websites eingeschleust, um Malware zu verbreiten.
Der populäre Newsletter- und Marketing-Dienstleister Brevo (ehemals Sendinblue) ist Opfer eines gezielten Supply-Chain-Angriffs geworden. Cyberkriminelle entwendeten einen Cloudflare-API-Schlüssel des Unternehmens und schleusten darüber schädliche JavaScript-Dateien ein. Diese manipulierten Skripte wurden auch auf den Websites von Brevo-Kunden ausgeführt, die Anmeldeformulare des Dienstes direkt eingebettet haben.
Brevo ist im deutschsprachigen Raum (DACH) aufgrund seiner DSGVO-Konformität und europäischen Serverstandorte bei zahlreichen Unternehmen, Agenturen und Admins im Einsatz. Da die schädlichen Skripte direkt über die legitimen Einbettungscodes auf den Kunden-Websites geladen wurden, waren Besucher dieser Seiten einer direkten Gefahr ausgesetzt. Bei dem Angriff kam die sogenannte ClickFix-Methode zum Einsatz. Dabei wird dem Website-Besucher ein gefälschtes Pop-up-Fenster angezeigt, das vorgibt, ein dringendes Browser- oder Word-Update ausführen zu müssen. Folgt der Nutzer den Anweisungen, führt er unwissentlich ein schädliches PowerShell-Skript aus, das Infostealer-Malware wie den Lumma Stealer auf dem Endgerät installiert und sensible Zugangsdaten abgreift.
IT-Verantwortliche und Webseiten-Administratoren, die Brevo-Dienste nutzen, müssen unverzüglich handeln, um das Sicherheitsrisiko für ihre Nutzer und die eigene Infrastruktur zu minimieren:
Der Vorfall zeigt einmal mehr, wie verwundbar moderne Web-Infrastrukturen durch Drittanbieter-Skripte sind. IT-Abteilungen sollten die Einbindung externer Ressourcen kritisch hinterfragen und Content Security Policies (CSP) implementieren, um das unbefugte Nachladen von Drittanbieter-Inhalten effektiv zu blockieren.
Quelle: BleepingComputer