Une seule faille chez une entreprise de technologie marketing a une fois de plus montré à quel point la chaîne d'approvisionnement du web peut être fragile. Selon un reportage de PCMag, des attaquants ont compromis Brevo, un fournisseur de marketing en ligne, et ont utilisé cet accès pour lancer une attaque de malware de type ClickFix sur de nombreux sites web en une seule journée. L'incident est un exemple clair de la façon dont une attaque de malware ClickFix n'a pas besoin de cibler directement les victimes. Elle peut passer par un service tiers de confiance.
Comment le piratage de Brevo a ouvert la porte
Brevo fournit des outils marketing que de nombreuses entreprises intègrent directement dans leurs sites web, comme des formulaires d'inscription par e-mail, des widgets de chat ou des scripts de suivi. Lorsqu'un fournisseur de ce type est compromis, les attaquants n'obtiennent pas seulement l'accès à un seul site. Ils obtiennent un point d'ancrage dans chaque site web qui a intégré le code du fournisseur. Dans ce cas, la faille chez Brevo a créé une voie permettant aux attaquants d'injecter une attaque de type ClickFix dans un large éventail de sites simultanément, transformant un point de défaillance unique en un canal de distribution massive de malware.
C'est ce qui rend les failles côté fournisseur si dangereuses du point de vue de la confidentialité et de la sécurité. Les propriétaires de sites ont souvent peu de visibilité sur les modifications effectuées du côté du fournisseur, et les visiteurs n'ont aucun moyen de savoir qu'un script exécuté en arrière-plan d'un site web familier est soudainement devenu malveillant.
Ce que font réellement les attaques ClickFix
ClickFix est une technique d'ingénierie sociale devenue de plus en plus courante. Plutôt que d'exploiter une vulnérabilité technique dans un navigateur ou un système d'exploitation, elle repose sur la manipulation de la personne assise devant le clavier. Généralement, une fausse invite apparaît sur une page web, souvent déguisée en vérification CAPTCHA, en message d'erreur ou en étape nécessaire pour corriger un prétendu problème avec la page. L'invite demande au visiteur de copier un morceau de texte et de le coller dans une fenêtre de commande ou une boîte d'exécution sur son ordinateur.
Ce texte collé est en réalité une commande malveillante. Une fois exécutée, elle peut installer un malware sans que l'utilisateur ait jamais téléchargé un fichier au sens traditionnel ou cliqué sur un lien évident. Parce que l'attaque repose sur l'action de l'utilisateur plutôt que sur une faille logicielle, elle peut contourner bon nombre des défenses techniques conçues pour détecter les méthodes de livraison de malware conventionnelles. C'est en partie pourquoi ClickFix est devenu une tactique privilégiée par les attaquants cherchant à compromettre un grand nombre d'appareils rapidement.
Un schéma croissant de compromission de la chaîne d'approvisionnement
L'incident Brevo s'inscrit dans un schéma plus large où les attaquants s'en prennent aux outils et plateformes dont dépendent d'autres entreprises, plutôt que d'attaquer directement les utilisateurs finaux ou même des entreprises individuelles. C'est une dynamique similaire à ce qui s'est produit lorsque ShinyHunters a revendiqué un piratage de Metabase, une plateforme d'analyse commerciale utilisée par plus de 100 000 organisations, exposant un nombre considérable d'utilisateurs en aval à un risque potentiel à partir d'une seule faille. Cela fait également écho aux préoccupations soulevées autour des vulnérabilités non corrigées dans des plateformes largement utilisées comme GeoServer, où une seule faille non traitée dans une infrastructure partagée peut être exploitée across de nombreuses organisations à la fois.
Ces incidents partagent un fil conducteur : plus le web devient interconnecté, avec des entreprises qui dépendent de scripts, plugins et plateformes tiers, plus un seul fournisseur compromis peut se propager vers l'extérieur en une attaque généralisée.
Ce que cela signifie pour vous
Pour les internautes ordinaires, la leçon à tirer de cette attaque de malware ClickFix n'est pas qu'un site web particulier est digne de confiance ou non. C'est que même des sites web légitimes et familiers peuvent être temporairement transformés en armes sans qu'ils y soient pour quoi que ce soit, simplement parce qu'un fournisseur sur lequel ils comptent a été compromis. La véritable défense ici se résume à reconnaître le schéma ClickFix lui-même. Aucun site web légitime ne vous demandera jamais d'ouvrir une invite de commande ou une boîte d'exécution et d'y coller du texte pour « vérifier » que vous êtes humain ou pour « corriger » un problème d'affichage. Cette instruction, où qu'elle apparaisse, doit être considérée comme un signal d'alarme à chaque fois.
Points à retenir
Si vous rencontrez une invite vous demandant de copier et coller une commande dans votre ordinateur, fermez immédiatement la page plutôt que de suivre les instructions. Maintenez votre système d'exploitation et votre navigateur à jour, car les correctifs peuvent parfois réduire l'impact des scripts qui passent malgré tout. Envisagez d'utiliser des extensions de navigateur ou des outils de sécurité qui signalent le comportement suspect des scripts sur les pages web que vous visitez. Et si vous gérez un site web qui dépend d'outils marketing ou d'analyse tiers, surveillez ces intégrations de près et soyez prêt à les déconnecter rapidement si un fournisseur divulgue une faille. Des incidents comme le piratage de Brevo rappellent que la vigilance ne doit pas s'arrêter à votre propre porte. Elle doit s'étendre à chaque fournisseur et script qui touche les sites que vous utilisez chaque jour.
