{"data":{"id":2484,"lang":"cs","title":"Útok na dodavatelský řetězec Brevo vložil malware ClickFix až na 100 000 webů","summary":"Útočníci na 5,5 hodiny převzali skripty Brevo vkládané do webů zákazníků a šířili falešné ověřovací stránky i pokus o zadní vrátka do WordPressu.","category":"technology","category_label":"Technologie","published_at":"2026-09-21T06:01:35Z","updated_at":"2026-09-21T06:01:35Z","url":"https://techtools.cz/tools/news/clanek/2484-utok-na-dodavatelsky-retezec-brevo-vlozil-malware-clickfix-az-na-100-000-webu","api_url":"https://techtools.cz/news-api/v1/articles/2484?lang=cs","markdown_url":"https://techtools.cz/news-api/v1/articles/2484.md?lang=cs","image_url":"https://www.securityweek.com/wp-content/uploads/2026/06/supply-chain-threat.webp","word_count":213,"reading_time_minutes":2,"sources":[{"url":"https://www.securityweek.com/brevo-supply-chain-attack-injects-malware-into-100000-websites/","domain":"securityweek.com"},{"url":"https://www.bleepingcomputer.com/news/security/brevo-supply-chain-attack-injected-clickfix-scripts-on-customer-sites/","domain":"bleepingcomputer.com"},{"url":"https://sansec.io/research/brevo-supply-chain-attack","domain":"sansec.io"}],"translation":{"lang":"en","id":2411,"title":"Brevo Supply-Chain Attack Injects ClickFix Malware Into Up to 100,000 Websites","url":"https://techtools.cz/tools/news/article/2411-brevo-supply-chain-attack-injects-clickfix-malware-into-up-to-100-000-websites","api_url":"https://techtools.cz/news-api/v1/articles/2411?lang=en"},"content":"Útočníci napadli Brevo, platformu pro e-mailový marketing a komunikaci se zákazníky, a přes ni rozeslali škodlivý JavaScript až na 100 000 webů. Dne 14. září falešná služba Cloudflare Worker vložila do formulářového skriptu, widgetu Conversations a zavaděčů SDK od Brevo falešné stránky „ověřte, že jste člověk“. Jde o trik ClickFix, který návštěvníky nutí spouštět příkazy na vlastním počítači. Kód byl aktivní zhruba 5,5 hodiny, od 16:05 do 20:12 UTC.\n\nÚtok začal 10. září, kdy útočníci zneužili chybu v jednotném přihlašování SAML a získali přístup ke 138 účtům Brevo, mezi nimi i k účtu výrobce kryptopeněženek Trezor. Z 43 účtů exportovali kontakty a ze šesti rozeslali phishingové e-maily. O čtyři dny později se vrátili s dlouhodobým API klíčem od Cloudflare. Podle Brevo Worker přepisoval odpovědi na okraji sítě a odstraňoval bezpečnostní hlavičky, například Content-Security-Policy, zatímco původní servery zůstaly nedotčené, takže se útok hůře odhaloval. Pokud byl návštěvník přihlášený do WordPressu jako administrátor, skript se navíc pokusil nainstalovat zásuvný modul, pravděpodobně zadní vrátka.\n\nBrevo Worker odstranilo, klíč zneplatnilo a vyšetřuje zneužití API klíče už od konce srpna. Administrátoři WordPressu, kteří byli 14. září přihlášeni, by měli zkontrolovat moduly nainstalované v ten den, neznámé odstranit a změnit si hesla. Případ ukazuje, jak může jediný cizí skript vydat návštěvníky tisíců nesouvisejících webů útočníkům najednou."}}