Brevo: accessi ai clienti e script alterati sui siti collegati
Brevo (ex Sendinblue) è una piattaforma europea molto usata per la posta elettronica transazionale e di marketing. A settembre 2026 ha comunicato due incidenti distinti: uno sugli account dei clienti, uno sulla rete che distribuisce i suoi script. Qui trovi che cosa è confermato dall'azienda e che cosa no.
Scheda aggiornata al 21 ottobre 2026 In corso Le informazioni vengono da fonti pubbliche, elencate in fondo alla pagina; BoNet™ non ha informazioni dirette sull'incidente. Seguiamo il caso ogni settimana, anche dopo che la stampa smette di occuparsene.
Data di inizio dell'evento: 9–14 settembre 2026 · Ultimo controllo delle fonti: 21 ottobre 2026
- Scheda creata. Ultimo sviluppo che risulta dalle fonti consultate: il resoconto (post-mortem) pubblicato da Brevo il 17 settembre 2026. Non abbiamo ancora verificato sviluppi successivi.
- Brevo pubblica il resoconto dell'incidente del 14 settembre: causa, risorse interessate, rimedi e misure previste.
- Script alterati per circa cinque ore e mezza sui siti e sui contenuti distribuiti da Brevo.
- Trezor e la stampa riferiscono gli accessi agli account dei clienti Brevo e il phishing che ne è seguito.
Tre cose da sapere
Che cosa è successo
Intorno al 9–10 settembre un aggressore ha sfruttato la gestione dell'accesso unico (SSO) per entrare in 138 account di clienti. Il 14 settembre, con una chiave Cloudflare ottenuta dagli aggressori, sono stati alterati per circa cinque ore e mezza gli script che Brevo distribuisce ai siti dei clienti.
Che cosa ha comportato
Da sei account sono partite email di phishing (per esempio verso 347.000 indirizzi di Trezor); 43 account hanno avuto contatti esportati. Sui siti collegati comparivano falsi controlli di sicurezza che invitavano a eseguire comandi.
Che cosa non si sa
Se i due incidenti siano collegati e quanti siti siano stati davvero colpiti: la stima di circa 100.000 siti è di un'azienda di sicurezza, non di Brevo.
I fatti, con le fonti
Ogni riga indica da dove viene l'informazione e quanto è solida. «Dichiarato» significa detto da un'azienda o da un'autorità; «riportato» significa scritto dalla stampa; «rivendicato» è ciò che dicono gli aggressori; «stima» e «ipotesi» dicono da soli quanto fidarsi. I numeri tra parentesi rimandano alle fonti in fondo alla pagina.
| Fatto | Stato | Fonti |
|---|---|---|
| Brevo ha comunicato che un aggressore ha sfruttato la gestione SSO (accesso unico) per accedere a 138 account di clienti: ha creato un proprio account, attivato l'SSO e invitato utenti legittimi, ottenendo accesso a tutte le organizzazioni raggiungibili da quegli utenti. | Dichiarato | [2] |
| Da sei di quegli account sono partite email di phishing verso i contatti memorizzati; da 43 account sono stati esportati i contatti. | Dichiarato | [2] |
| Trezor ha dichiarato che circa 347.000 indirizzi del suo elenco di newsletter hanno ricevuto un'email falsa di «allarme di sicurezza» e che circa 2.500 utenti hanno cliccato il link; il sito falso è stato spento dopo 20 minuti. Le fonti indicano date leggermente diverse per l'incidente (9 settembre secondo Trezor). | Dichiarato | [2] [3] |
| Il 14 settembre 2026, tra le 15:01 e le 20:30 circa (ora UTC), un aggressore con una chiave Cloudflare dalle autorizzazioni complete, scritta nel codice di Brevo, ha creato una funzione che modificava le risposte sulla rete di distribuzione dei contenuti. | Dichiarato | [1] |
| Le risorse interessate comprendevano brevo.com, sendinblue.com, sibforms.com, lo script dei moduli, il widget Conversations e i caricatori degli SDK: visitatori di siti che li incorporavano potevano vedere un falso controllo di sicurezza che chiedeva di eseguire un comando (tecnica «ClickFix»). | Dichiarato | [1] |
| Per l'incidente del 14 settembre Brevo ha dichiarato che non sono stati colpiti l'applicazione, l'API, l'invio delle email e i dati degli account dei clienti. | Dichiarato | [1] |
| Secondo l'azienda di sicurezza Sansec, fino a circa 100.000 siti potrebbero essere stati coinvolti; su siti WordPress un amministratore connesso poteva ricevere l'installazione di un'estensione nascosta. | Stima | [4] |
| Brevo ha detto che la chiave risultava usata in modo anomalo già a fine agosto, senza modifiche ai contenuti prima del 14 settembre. Non ha detto se le due vicende siano collegate. | Dichiarato | [1] [4] |
- Se l'accesso agli account (SSO) e la compromissione della rete di distribuzione siano collegati.
- Quanti siti siano stati davvero toccati: la cifra di 100.000 è una stima di una società di sicurezza.
- Quanti utenti finali abbiano eseguito i comandi richiesti dai falsi controlli e con quali conseguenze.
Considerazioni generali, valide per qualunque organizzazione: non sono conclusioni sull'azienda colpita.
- Chi usa un servizio esterno deve sapere che cosa carica da lì: uno script di terzi inserito in un sito è parte del sito. Dove possibile conviene limitarlo con controlli di integrità e regole di sicurezza del browser.
- Le chiavi con ampi poteri non vanno scritte nel codice: chiavi a breve durata e a poteri minimi, conservate in un luogo protetto, riducono il danno di una fuga.
- Se si usa un servizio di posta esterno, è utile abilitare l'autenticazione a più fattori, controllare gli utenti e i metodi di accesso e sapere come si viene avvisati in caso di incidente.
Da dove vengono le informazioni
| N. | Fonte | Titolo | Data | Che cosa abbiamo usato |
|---|---|---|---|---|
| [1] | Brevo (resoconto ufficiale) | Write-up dell'incidente del 14 settembre 2026 | 17 settembre 2026 | Cronologia, causa, risorse interessate e non interessate, rimedi. |
| [2] | SecurityWeek | Trezor says 347,000 users received phishing emails after Brevo hack | 11 settembre 2026 | Gli accessi agli account (138), phishing, esportazione di contatti. |
| [3] | BleepingComputer | Trezor: 347,000 users targeted in phishing attacks after Brevo breach | 11 settembre 2026 | Dichiarazioni di Trezor, effetti sul phishing. |
| [4] | BleepingComputer | Brevo supply chain attack injected ClickFix scripts on customer sites | settembre 2026 | Stima di Sansec, estensione WordPress, domande ancora aperte. |
Testi riassunti e riscritti con parole nostre. Se trovi un errore o una novità segnalacelo e correggeremo la scheda.
- Frigoriferi a 50 °C: l'attacco ai supermercati francesi · notte tra l'11 e il 12 ottobre 2026
- ASOS: notifica falsa nell'app e dati di clienti su piattaforme esterne · 6 ottobre 2026
- FortiBleed: credenziali di circa 74.000 firewall e VPN Fortinet esposte · giugno 2026 (allerta CISA del 18 giugno)
Vuoi capire se la tua rete è esposta a rischi simili?
Il punto di partenza è quasi sempre un'analisi di rete: da lì si vede se servono test invasivi. Ogni richiesta viene valutata caso per caso.
Richiedi informazioni Vai a Efesto