Brevo supply chain : 100 000 sites infectés via ClickFix

Comment une clé Cloudflare volée a piégé 100 000 sites en cinq heures

Le dimanche 14 septembre 2026, les utilisateurs de milliers de sites web ont été confrontés à une page inattendue : une fausse vérification Cloudflare leur demandant d'exécuter une commande sur leur ordinateur. Derrière cette arnaque de type ClickFix se cachait une compromission en profondeur de l'infrastructure de Brevo, l'un des principaux fournisseurs européens d'outils de marketing par e-mail et de messagerie transactionnelle.

L'attaque a débuté bien avant le 14 septembre. Selon les analyses publiées par Sansec et SecurityWeek, les attaquants ont mis la main sur une clé API Cloudflare appartenant à Brevo dès la fin du mois d'août 2026. Pendant plusieurs semaines, cette clé n'a pas été utilisée à des fins malveillantes visibles — une période de latence qui suggère une préparation minutieuse et un objectif clair : maximiser l'impact lors du déclenchement de l'attaque.

Le 14 septembre, les attaquants ont activé leur dispositif. En exploitant la clé API compromise, ils ont créé un Cloudflare Worker malveillant — un script exécuté au niveau du réseau de diffusion de contenu (CDN) de Cloudflare, directement à la périphérie du réseau, avant que les pages ne soient livrées aux navigateurs. Ce positionnement est particulièrement insidieux : le Worker interceptait et modifiait le contenu à la volée, sans que les serveurs d'origine de Brevo ni ceux des clients ne soient directement compromis.

Ce Worker malveillant avait pour mission d'injecter du JavaScript dans les fichiers JavaScript de Brevo embarqués sur les sites clients. Or, Brevo compte parmi ses clients des dizaines de milliers de sites e-commerce, médias et PME qui utilisent ses widgets de formulaire d'inscription, de chat en direct ou de suivi marketing. La surface d'attaque était donc massive : plus de 100 000 sites ont servi du contenu malveillant pendant la durée de vie du Worker, soit environ cinq heures et demie.

La stratégie d'attaque était duale. Pour les visiteurs ordinaires, le script injecté affichait une fausse page de vérification d'identité au design soigné, imitant les captchas de Cloudflare. Cette page invitait les utilisateurs à appuyer sur la combinaison de touches Windows + R, à coller une commande dans la boîte de dialogue Exécuter, puis à valider. Cette technique, baptisée ClickFix, est connue depuis 2024 et représente une forme d'ingénierie sociale particulièrement efficace car elle exploite la confiance que les internautes accordent aux pages de vérification anti-bot.

Pour les administrateurs WordPress connectés sur les sites clients de Brevo, le Worker déployait une attaque différente et plus silencieuse. Le script détectait si le visiteur était authentifié en tant qu'administrateur WordPress, et dans ce cas, tentait d'installer et d'activer automatiquement un plugin malveillant. Ce mécanisme ciblait précisément les personnes ayant les droits les plus étendus sur les sites concernés, maximisant le potentiel de persistance et d'accès futur pour les attaquants.

Brevo a réagi dès qu'elle a détecté l'activité anormale, en révoquant la clé API compromise et en supprimant le Worker malveillant. La plateforme a confirmé que l'injection de contenu malveillant dans les pages accessibles aux clients n'avait pas commencé avant le 14 septembre, malgré le vol de la clé fin août. La société a notifié ses clients et recommandé aux propriétaires de sites WordPress d'auditer leurs plugins installés et de contrôler leurs journaux d'accès administrateur.

L'incident s'inscrit dans une tendance préoccupante des attaques supply chain ciblant les prestataires de services marketing et analytics, dont les scripts sont embarqués sur des milliers de sites simultanément. En 2024 et 2025, des attaques similaires avaient ciblé Polyfill.io et plusieurs fournisseurs de scripts de chat tiers, avec des résultats comparables en termes d'ampleur. La technique ClickFix, popularisée par des groupes de cybercriminels d'Europe de l'Est, continue quant à elle de gagner du terrain face aux défenses traditionnelles.

Pourquoi cette attaque redéfinit les risques liés aux intégrations tierces

L'attaque Brevo illustre de manière particulièrement claire l'une des vulnérabilités structurelles du web moderne : la dépendance des sites à des scripts tiers. Un site e-commerce typique embarque en moyenne une dizaine de scripts externes, issus de fournisseurs de chat, d'analytics, de marketing automation, de paiement et de publicité. Chacun de ces scripts représente un vecteur d'attaque potentiel : si le fournisseur est compromis, c'est l'ensemble de ses clients qui devient automatiquement vulnérable, sans que ceux-ci n'aient commis la moindre erreur de configuration.

Le choix du CDN Cloudflare comme vecteur d'attaque est particulièrement stratégique. Cloudflare protège et accélère une part significative du trafic web mondial, et ses technologies Workers permettent d'exécuter du code arbitraire au plus près des utilisateurs. Dans un contexte légitime, c'est un avantage considérable pour les performances et la disponibilité. Dans un contexte malveillant, cette infrastructure devient un outil de distribution massif, capable de toucher simultanément des millions d'utilisateurs répartis sur des centaines de milliers de sites en quelques minutes.

La fenêtre de cinq heures et demie pendant laquelle le Worker malveillant a été actif soulève des questions sur les mécanismes de détection des anomalies chez les fournisseurs de CDN et de services marketing. Pour une entreprise comme Brevo, qui traite des milliards d'événements marketing par mois, détecter une modification anormale des scripts servis via Cloudflare n'est pas trivial. Cela implique une surveillance continue des empreintes cryptographiques des fichiers JavaScript distribués — un niveau de maturité opérationnelle que peu d'entreprises atteignent.

Pour les propriétaires de sites web, l'incident rappelle l'importance de la politique de sécurité des contenus (CSP), un mécanisme HTTP qui permet de restreindre les origines depuis lesquelles des scripts peuvent être chargés et exécutés. Une CSP strictement configurée aurait pu bloquer ou au moins alerter sur l'injection de code depuis une origine non autorisée. De même, les sous-ressources d'intégrité (SRI) permettent de vérifier qu'un script tiers n'a pas été modifié en le comparant à une empreinte cryptographique de référence. Ces mécanismes existent depuis plusieurs années, mais leur adoption reste insuffisante dans l'écosystème web.

Ce qu'il faut retenir

• Un Cloudflare Worker malveillant créé avec une clé API volée a injecté des scripts ClickFix sur 100 000+ sites clients de Brevo pendant 5h30 le 14 septembre 2026.
• Les administrateurs WordPress des sites Brevo doivent auditer leurs plugins et journaux d'accès administrateur pour détecter toute persistance.
• La mise en place d'une politique CSP stricte et l'utilisation des attributs SRI restent les défenses les plus efficaces contre ce type d'attaque supply chain.