Serangan Supply Chain Brevo Suntikkan Skrip ClickFix ke Situs Pelanggan

Brevo mengonfirmasi adanya serangan supply chain yang memungkinkan penyerang menyalahgunakan API key Cloudflare untuk menyisipkan skrip berbahaya ke situs web milik perusahaan serta file JavaScript yang digunakan pelanggan. Skrip tersebut kemudian dimanfaatkan untuk menjalankan serangan berbasis ClickFix yang mengarahkan pengunjung agar menjalankan perintah berbahaya di Windows.

Brevo merupakan perusahaan yang menyediakan layanan customer relationship management (CRM) dan digital marketing. Insiden ini terjadi pada 14 September 2026 dan berlangsung selama sekitar lima setengah jam.

Menurut laporan investigasi Brevo, penyerang menggunakan API key Cloudflare yang memiliki hak akses penuh untuk membuat Cloudflare Worker. Worker tersebut kemudian digunakan untuk memodifikasi konten yang dikirimkan kepada pengunjung melalui jaringan CDN tanpa perlu mengubah server asal maupun file yang tersimpan di dalamnya.

API Key Cloudflare dengan Hak Akses Penuh Disalahgunakan

Brevo mengatakan penyerang memperoleh sebuah API key Cloudflare berumur panjang yang memiliki izin penuh terhadap akun. Credential tersebut sebelumnya ditanam langsung di dalam source code aplikasi.

Dengan API key tersebut, penyerang dapat membuat Cloudflare Workers, routes, hingga DNS records di berbagai zona milik Brevo tanpa memicu peringatan keamanan.

Kondisi ini memungkinkan penyerang memodifikasi respons HTTP di sisi edge Cloudflare. Akibatnya, server origin Brevo dan file JavaScript asli tetap tidak berubah sehingga pemeriksaan integritas standar tidak mendeteksi adanya manipulasi.

Brevo memperkirakan API key tersebut mungkin telah terekspos sejak akhir Agustus 2026. Namun, perusahaan mengatakan tidak menemukan bukti aktivitas berbahaya sebelum insiden pada September.

Paparan aktif berlangsung antara 16:07 hingga 20:30 UTC pada 14 September 2026.

Setelah mendeteksi kompromi, Brevo menghapus Cloudflare Worker beserta route yang dibuat penyerang. Perusahaan kemudian mencabut API key yang disalahgunakan dan credential yang dibuat menggunakan key tersebut, menghapus credential yang sebelumnya di-hardcode dari source code, menghapus hostname yang dikendalikan penyerang, serta melakukan purge terhadap cache di edge.

Brevo menyatakan bahwa app.brevo.com, API, infrastruktur pengiriman email, dan data akun pelanggan tidak terdampak oleh insiden ini.

Komponen Brevo yang Digunakan Pelanggan Ikut Terpengaruh

Serangan tidak hanya memengaruhi halaman Brevo sendiri. Cloudflare Worker juga digunakan untuk memodifikasi beberapa komponen JavaScript yang disematkan pelanggan ke situs mereka.

Area yang terdampak mencakup:

• brevo.com
• sendinblue.com
• login/account/my/onboarding.brevo.com
• sibforms.com
• Brevo Forms script
• Brevo Conversations widget
• Brevo SDK loader

Kondisi tersebut membuat insiden berkembang menjadi supply-chain attack karena kode yang telah dimanipulasi dapat diterima oleh situs pihak ketiga yang menggunakan komponen Brevo.

Perusahaan keamanan Sansec, yang pertama kali melaporkan insiden tersebut, memperkirakan serangan berpotensi berdampak pada hingga 100.000 situs web yang menggunakan komponen Brevo yang terpengaruh.

Sansec kemudian mengonfirmasi bahwa seluruh subdomain berbahaya telah berhenti melakukan resolving pada 15 September dan file Brevo telah kembali bersih.

Pengunjung Diberi Lure ClickFix Palsu

Salah satu teknik yang digunakan dalam serangan tersebut adalah ClickFix.

Pengunjung situs yang terdampak dapat melihat halaman verifikasi Cloudflare palsu. Halaman tersebut kemudian memberikan instruksi kepada pengguna untuk menjalankan sebuah perintah pada komputer Windows.

Teknik ClickFix memanfaatkan rekayasa sosial dengan membuat pengguna percaya bahwa mereka perlu melakukan tindakan tertentu, seperti menjalankan perintah melalui Windows Run atau PowerShell, untuk menyelesaikan proses verifikasi.

Dengan demikian, serangan tidak hanya mengandalkan eksploitasi teknis. Pengguna sendiri diarahkan untuk menjalankan perintah yang sebenarnya dapat digunakan untuk mengunduh atau menjalankan malware.

Situs WordPress Menghadapi Risiko Tambahan

Dampaknya menjadi lebih serius bagi situs WordPress yang menggunakan widget Brevo yang telah terpengaruh.

Skrip berbahaya tersebut memeriksa apakah pengunjung sedang login sebagai administrator WordPress. Jika kondisi tersebut terpenuhi, skrip mencoba mengunggah plugin berbahaya dari sebuah URL yang dikendalikan penyerang.

Plugin tersebut menyamar sebagai plugin WordPress bernama Web Media Optimizer.

Meskipun terlihat seperti plugin biasa, komponen tersebut sebenarnya berfungsi sebagai persistent backdoor sekaligus JavaScript loader.

Plugin berbahaya tersebut memiliki beberapa mekanisme untuk mempertahankan akses, termasuk menyembunyikan dirinya dari daftar plugin WordPress dan menyalin dirinya ke direktori must-use plugins sehingga tetap aktif dan lebih sulit ditemukan oleh administrator.

Plugin juga secara berkala berkomunikasi dengan server yang dikendalikan penyerang.

Backdoor Dapat Memuat JavaScript Berbahaya

Server yang dikendalikan penyerang digunakan untuk memberikan URL JavaScript yang kemudian disisipkan ke halaman situs korban.

Pada saat investigasi dilakukan, respons server tersebut berisi URL yang telah di-encode menggunakan Base64. URL tersebut kemudian digunakan plugin untuk mengambil JavaScript tambahan.

JavaScript yang dimuat selanjutnya menampilkan kembali lure ClickFix kepada pengunjung situs.

Plugin juga menyimpan salinan cadangan dari URL JavaScript terakhir yang valid. Mekanisme tersebut memungkinkan plugin tetap memuat kode berbahaya apabila server penyerang untuk sementara tidak dapat diakses.

Yang lebih mengkhawatirkan, plugin memiliki authentication key yang ditanam langsung di dalam kode. Key tersebut memungkinkan penyerang menghasilkan sesi login administrator WordPress yang valid tanpa perlu mengetahui password akun administrator.

Artinya, situs yang telah berhasil terinfeksi berpotensi menghadapi kompromi lanjutan bahkan setelah skrip ClickFix awal tidak lagi aktif.

Administrator WordPress Diminta Memeriksa Situs

Administrator WordPress yang mengunjungi situs terdampak pada 14 September ketika sedang login sebagai administrator disarankan melakukan pemeriksaan terhadap instalasi mereka.

Pemeriksaan dapat difokuskan pada:

• Plugin yang tidak dikenal dan muncul pada 14 September.
• Plugin yang tiba-tiba diaktifkan pada tanggal tersebut.
• Keberadaan plugin Web Media Optimizer atau plugin lain yang tidak pernah dipasang administrator.
• Perubahan tidak biasa pada direktori wp-content/mu-plugins.
• Perubahan atau injeksi JavaScript pada halaman situs.
• Aktivitas jaringan menuju domain yang tidak dikenal.
• Akun administrator WordPress yang tiba-tiba muncul atau berubah.

Jika ditemukan plugin atau komponen mencurigakan, administrator sebaiknya menghapusnya dan melakukan rotasi password administrator.

Karena plugin berbahaya tersebut memiliki mekanisme persistence dan dapat memengaruhi sesi administrator, sekadar menghapus skrip yang terlihat pada halaman belum tentu cukup untuk memastikan situs telah bersih.

Insiden Terjadi Setelah Brevo Mengungkap Pelanggaran Lain

Insiden Cloudflare ini juga terjadi tidak lama setelah Brevo mengungkap insiden keamanan berbeda yang berkaitan dengan sistem SSO.

Pada 10 September 2026, Brevo mengungkap bahwa penyerang telah membajak sejumlah akun pelanggan dan menggunakannya untuk melancarkan serangan phishing terhadap pelanggan perusahaan yang menggunakan layanan Brevo.

Salah satu korban yang diketahui adalah penyedia dompet cryptocurrency Trezor. Pada 11 September, Trezor mengatakan serangan phishing tersebut menjangkau sekitar 347.000 alamat email pengguna, dengan setidaknya 2.500 pengguna berhasil dikompromikan.

Brevo belum memberikan konfirmasi apakah insiden SSO tersebut memiliki hubungan dengan kompromi Cloudflare yang terjadi beberapa hari kemudian.

Pelajaran Penting dari Serangan Supply Chain

Insiden Brevo menunjukkan bagaimana satu credential dengan hak akses terlalu luas dapat menjadi titik masuk untuk serangan supply chain dalam skala besar.

Menariknya, file dan server origin Brevo tidak perlu dimodifikasi agar serangan berhasil. Penyerang cukup memanfaatkan Cloudflare Worker untuk mengubah respons di edge sebelum konten sampai ke pengunjung.

Hal ini juga menunjukkan pentingnya menerapkan prinsip least privilege pada API key, menghindari penyimpanan credential jangka panjang di dalam source code, serta menggunakan mekanisme secret management yang tepat.

Bagi pemilik situs WordPress, insiden ini menjadi pengingat bahwa keamanan website tidak hanya bergantung pada plugin yang dipasang sendiri. Komponen JavaScript pihak ketiga yang digunakan untuk formulir, analytics, chat, pembayaran, maupun marketing juga dapat menjadi bagian dari rantai serangan apabila penyedia layanan tersebut mengalami kompromi.

Sumber: Brevo