Brevo piraté : ses scripts infectaient les sites de ses clients

Petit coup dur pour Brevo (ex-Sendinblue) : le 14 septembre 2026, les scripts JavaScript que la boîte fournit à ses clients pour intégrer ses outils marketing se sont mis à distribuer du code malveillant. Concrètement, tous les sites qui utilisaient ces scripts se sont retrouvés à balancer une attaque de type ClickFix à leurs visiteurs, sans que personne n'ait rien demandé.

Pour ceux qui ne connaissent pas, le ClickFix c'est une technique d'arnaque assez vicieuse : on affiche un faux message d'erreur qui pousse l'utilisateur à copier-coller une commande dans une fenêtre d'exécution Windows, en lui faisant croire que ça va "réparer" un problème. En réalité, ça installe direct un malware sur sa machine. Du social engineering bien ficelé, quoi.

Le cas des sites WordPress est encore pire : en plus du ClickFix, les attaquants en ont profité pour glisser une backdoor, c'est-à-dire une porte dérobée qui leur permet de revenir tranquillement plus tard, même si la faille initiale est corrigée. C'est typiquement le genre d'attaque de supply chain qui fait mal, parce que ce n'est pas le site lui-même qui est vulnérable, mais un prestataire tiers auquel tout le monde fait confiance.

Si tu utilises Brevo sur ton site, le réflexe à avoir c'est de vérifier les scripts chargés, de surveiller les accès admin (surtout côté WordPress) et de suivre les communications officielles de Brevo pour savoir quand le nettoyage est terminé.