Un ataque a la cadena de suministro de Brevo inyecta malware en 100 000 sitios web
La plataforma de interacción con clientes Brevo sufrió un ataque a la cadena de suministro que provocó la inserción de código malicioso en una gran cantidad de sitios web. Inicialmente, la intrusión ocurrió cuando un actor malicioso aprovechó una vulnerabilidad relacionada con el manejo de SAML SSO para acceder a varias cuentas, lo que permitió a los atacantes enviar correos de tipo *phishing* y exportar contactos.
Aunque se cerró ese acceso inicial, los atacantes regresaron posteriormente utilizando una clave de API de Cloudflare comprometida para desplegar un *worker*. Este recurso introdujo scripts maliciosos en dominios de la compañía y en archivos JavaScript que los clientes integran en sus páginas, mostrando a ciertos visitantes una página falsa de verificación de Cloudflare mediante la técnica de ingeniería social conocida como ClickFix.
En los sitios de WordPress que utilizaban un *widget* de la plataforma, el script intentaba instalar y ejecutar un complemento si el visitante tenía una sesión de administrador activa. Tras la eliminación del componente malicioso y la revocación de las credenciales afectadas, se sugirió a los administradores revisar sus portales en busca de modificaciones no autorizadas y a los usuarios verificar sus equipos ante la posible presencia de software malicioso.
El artículo original no aporta más detalle sobre la identidad de los atacantes ni sobre posibles repercusiones adicionales más allá de las mencionadas.