News

Attacchi informatici a Brevo: account violati e moduli manomessi

A settembre gli aggressori sono entrati in 138 account tramite l'accesso SSO e hanno inserito codice malevolo nei moduli pubblicati sui siti dei clienti. Ecco cosa è successo e i controlli indicati da Brevo.

di Andrea M.

Responsabile IT di spalle che controlla righe di log su un monitor in un ufficio la sera, con lampada da scrivania e finestre sulla città illuminata
Immagine generata con AI

A settembre 2026 Brevo, la piattaforma francese di email marketing e CRM conosciuta in passato come Sendinblue, è stata colpita da due attacchi informatici. Il 10 settembre gli aggressori hanno approfittato di un difetto nell’accesso tramite SAML SSO e sono entrati in 138 account di clienti. Il 14 settembre hanno inserito codice malevolo nelle pagine di Brevo e nei moduli che i clienti pubblicano sui propri siti. L’azienda ha ricostruito entrambi gli episodi in due resoconti pubblicati sulla sua pagina di stato.

Gli account violati tramite l’accesso SSO

Secondo la ricostruzione di Brevo, gli aggressori hanno attivato l’accesso unificato (single sign-on) su un account creato da loro, vi hanno invitato utenti reali e, entrando con le loro credenziali, hanno raggiunto tutte le organizzazioni a cui quegli utenti avevano accesso. Alle 8:30 UTC (le 10:30 in Italia), due ore dopo essersene accorta, Brevo ha bloccato la falla e ha disconnesso tutti gli utenti.

Sei account sono stati usati per inviare email di phishing ai contatti in rubrica e da altri 43 sono stati esportati gli elenchi dei contatti. Nei restanti 93, l’azienda afferma di non aver rilevato attività rilevanti. Secondo SecurityWeek, una di queste email è arrivata a circa 347.000 iscritti alla newsletter di Trezor, produttore di portafogli per criptovalute. Poiché i messaggi partivano dai server di Brevo, superavano i normali controlli di autenticazione della posta.

Il codice malevolo nei moduli pubblicati sui siti

Il 14 settembre gli aggressori hanno recuperato una chiave API di Cloudflare con permessi completi, rimasta nel codice sorgente, e l’hanno usata per modificare i file distribuiti attraverso la rete CDN di Brevo. Il codice è comparso su brevo.com dalle 15:01 UTC (le 17:01 in Italia) e, dalle 16:07 alle 20:30 UTC, anche nei file dei moduli, della chat Conversations e dell’SDK. Ad alcuni visitatori mostrava una falsa verifica di Cloudflare che invitava a premere Win+R, Ctrl+V e Invio: una sequenza che su Windows scarica ed esegue un programma malevolo, secondo la tecnica nota come ClickFix.

Sui siti WordPress, se la pagina veniva aperta da un amministratore che aveva effettuato l’accesso, il codice tentava di installare un plugin che BleepingComputer ha identificato come una backdoor. Sansec, la società che per prima ha segnalato l’attacco, stima che i siti esposti possano arrivare a 100.000. Brevo sostiene che app.brevo.com, l’API, gli invii e i dati degli account non sono stati coinvolti.

I controlli consigliati alle aziende che usano Brevo

Se il sito aziendale ospita moduli o widget di Brevo e un amministratore WordPress lo ha visitato il 14 settembre dopo aver effettuato l’accesso, Brevo raccomanda di rimuovere i plugin installati o attivati quel giorno e di cambiare le password degli amministratori. Un computer su cui è stata eseguita la sequenza di tasti va considerato compromesso: Brevo indica di scollegarlo dalla rete, analizzarlo con l’antivirus e cambiare le password usate su quel dispositivo, a cominciare da quella di Brevo. Chi quel giorno ha effettuato l’accesso da brevo.com dovrebbe cambiare la password e verificare le proprie chiavi API.

Per l’attacco tramite SSO, l’azienda afferma di aver contattato direttamente tutti i clienti coinvolti e di aver disattivato i link contenuti nelle email di phishing, che invita comunque a non aprire.

Il GDPR prevede che il titolare del trattamento notifichi una violazione di dati personali all’autorità di controllo entro 72 ore da quando ne viene a conoscenza, salvo che sia improbabile un rischio per le persone coinvolte. Le fonti non indicano se Brevo abbia informato la CNIL, l’autorità francese per la protezione dei dati, né se siano previsti obblighi per i clienti.

Fonti

Andrea M.

Scritto da

Andrea M.

Fondatore e autore · Professionista digital e IT, implementazione CRM

Andrea M. lavora nel digitale e nell'IT e ha seguito anche l'implementazione di CRM in azienda: sa quanto la scelta del software pesi sul lavoro di tutti i giorni di un team commerciale. Ha fondato Miglior CRM per aiutare le aziende italiane a scegliere con dati verificati invece che con le promesse del marketing: prova i CRM su account reali, controlla prezzi e condizioni sul sito dei produttori e scrive pro e contro senza giri di parole.

Altre news