Brevoの顧客向けスクリプト経由で悪性ClickFixコードが配信された疑い

盗まれたAPIキーで配信内容を書き換え

Brevoによると、攻撃者は同社のアプリケーションのソースコードに埋め込まれていた長期有効のCloudflare APIキーを入手した。
このキーでCloudflare Workerを作成し、CDNのエッジ（利用者に近い配信地点）で内容を書き換えた結果、BrevoのWebページや顧客サイトに埋め込まれたJavaScript部品が影響を受けたという。
訪問者には偽のCloudflare認証画面が示され、Windowsでコマンドを実行させようとするClickFix（操作を促して悪性コードを実行させる手口）の指示が表示されたと報じられている。
BrevoはWorkerを削除し、侵害されたキーと関連認証情報を無効化してエッジキャッシュを消去したとしている。
セキュリティ企業は、影響を受けた部品を使う最大10万サイトに及んだ可能性があると見積もった。

報じられた侵害の前は、Brevoの顧客サイトに埋め込まれたスクリプトやWebコンテンツが、同社の説明する悪性のCloudflare Workerによって書き換えられてはいなかった。

Brevoによると、攻撃者が作成したCloudflare WorkerがCDNのエッジで配信内容を書き換え、Brevoのサイトと顧客サイトで使われるスクリプトに悪性のClickFixコードを加えた。

この説明どおりなら、共有の外部Web部品が、埋め込んだサイトにも影響し得る配信経路になったことになる。
またBrevoによると、書き換えはエッジで行われ、同社のオリジンサーバー上のファイルは変更されなかった。