Brevo, la plateforme française de marketing numérique anciennement connue sous le nom de Sendinblue, a été victime d’un incident de sécurité ayant permis à un attaquant d’accéder à 138 comptes clients. La compromission a immédiatement eu des conséquences concrètes : plusieurs comptes ont été utilisés pour envoyer de véritables campagnes de phishing, tandis que des listes de contacts ont été téléchargées.
Le scénario est particulièrement préoccupant car les messages frauduleux ont pu être envoyés depuis l’infrastructure légitime utilisée par les entreprises victimes. Des utilisateurs de services liés aux cryptomonnaies, notamment Trezor et CoinTracking, ont déjà reçu des messages cherchant à récupérer des informations permettant potentiellement de prendre le contrôle de leurs comptes ou de leurs portefeuilles.
Brevo, un acteur français au cœur des communications de milliers d’entreprises
Brevo fournit aux entreprises des outils permettant de gérer leurs campagnes d’e-mails, newsletters, SMS, contacts, automatisations marketing et relations clients. La plateforme occupe donc une position particulièrement sensible : lorsqu’une entreprise lui confie ses campagnes, elle peut également y héberger une partie importante de sa base de contacts.
La compromission d’un tel prestataire peut provoquer un véritable effet domino. L’attaquant n’a pas nécessairement besoin de compromettre directement Trezor, CoinTracking ou une autre entreprise : accéder au compte Brevo utilisé par celle-ci peut suffire pour récupérer ses contacts ou envoyer des messages en son nom.
Une faille dans le fonctionnement du SSO SAML
Dans son compte rendu technique, Brevo explique que l’incident trouve son origine dans la manière dont sa plateforme gérait le SSO reposant sur le protocole SAML. Le SSO, ou authentification unique, permet à un utilisateur de se connecter à plusieurs services à partir d’une identité gérée par son organisation.
Le problème découvert chez Brevo concernait surtout le cloisonnement entre les différentes organisations. Selon l’entreprise, l’attaquant a créé son propre environnement Brevo et y a configuré un fournisseur d’identité SSO qu’il contrôlait.
L’attaquant invitait de véritables utilisateurs dans son propre SSO
Le scénario décrit par Brevo est inhabituel. L’attaquant pouvait inviter un utilisateur Brevo existant dans l’organisation qu’il contrôlait. Il disposait également de son propre fournisseur d’identité permettant de gérer l’authentification SAML de cet environnement.
Une fois cette association réalisée, une faiblesse dans les contrôles de Brevo permettait de dépasser le périmètre de cette organisation. L’authentification réalisée via le fournisseur d’identité contrôlé par l’attaquant pouvait donner accès aux autres organisations Brevo auxquelles l’utilisateur ciblé disposait déjà de droits.
Autrement dit, le problème ne reposait pas simplement sur le vol du mot de passe d’un client. L’attaquant a exploité une faille logique dans le mécanisme d’authentification et de séparation des comptes pour accéder à des environnements qui n’auraient jamais dû être accessibles depuis son propre SSO.
138 comptes Brevo accessibles
Brevo indique avoir identifié le problème le 10 septembre 2026 à 6 h 30 UTC. L’entreprise a déterminé que l’attaquant avait pu atteindre 138 comptes clients.
Les conséquences observées diffèrent selon les comptes :
- 138 comptes Brevo ont été accessibles ;
- 6 comptes ont été utilisés pour envoyer des e-mails de phishing ;
- les contacts présents dans 43 comptes ont été exportés ;
- Brevo indique n’avoir constaté aucune activité significative sur 93 comptes.
Ces catégories peuvent se recouper : un compte utilisé pour envoyer une campagne frauduleuse peut également avoir fait l’objet d’un export de contacts. Le chiffre important reste donc celui de 138 environnements clients auxquels l’attaquant a pu accéder.
Brevo coupe l’accès deux heures après la détection
Après avoir identifié l’incident à 6 h 30 UTC, Brevo indique avoir bloqué le point d’entrée utilisé par l’attaquant vers 8 h 30 UTC. L’entreprise a également pris la décision de déconnecter les utilisateurs de la plateforme afin de révoquer les sessions existantes.
Brevo affirme ne plus avoir observé de nouvelle activité de l’attaquant après la mise en place de ces mesures. L’entreprise doit désormais contacter les clients concernés individuellement afin de leur communiquer le périmètre précis constaté sur leur compte.
Des e-mails frauduleux envoyés depuis une infrastructure légitime
La partie la plus dangereuse de cette attaque concerne les six comptes qui ont directement servi à diffuser du phishing. Les cybercriminels ont pu exploiter l’environnement d’envoi normalement utilisé par les véritables entreprises, et non une simple adresse créée pour imiter leur identité.
Cette différence est importante. Une campagne classique utilise souvent un domaine ressemblant à celui d’une marque ou une adresse falsifiée. Ici, certains messages frauduleux bénéficiaient de la chaîne technique normalement utilisée pour envoyer les communications légitimes des entreprises concernées.
Brevo reconnaît ainsi que les e-mails envoyés depuis les comptes compromis pouvaient passer les mécanismes habituels d’authentification et apparaître comme provenant d’un expéditeur légitime. Vérifier uniquement l’adresse de l’expéditeur ne suffisait donc pas nécessairement à détecter l’attaque.
Trezor ciblé avec un faux avertissement de sécurité
Le fabricant de portefeuilles matériels Trezor fait partie des entreprises touchées. Son environnement Brevo utilisé pour ses newsletters a permis l’envoi d’un message frauduleux à environ 347 000 adresses e-mail inscrites à sa liste de diffusion.
Le message utilisait comme objet « Critical Security Alert: STM32 Entropy Vulnerability ». Il faisait croire aux utilisateurs qu’une vulnérabilité critique mettait leur portefeuille en danger et qu’une action urgente était nécessaire.
Le lien conduisait vers un dispositif frauduleux cherchant à convaincre les victimes de communiquer la sauvegarde de leur portefeuille. Cette information, souvent appelée seed ou phrase de récupération, suffit dans de nombreux cas à reconstruire un portefeuille sur un autre appareil et à prendre le contrôle des cryptomonnaies qu’il contient.
Environ 2 500 personnes ont cliqué sur le lien envoyé aux clients de Trezor
Trezor indique avoir réussi à faire désactiver le domaine utilisé dans la campagne environ 20 minutes après son identification. Mais le lien avait déjà été ouvert par près de 2 500 personnes.
L’entreprise précise qu’un simple clic ne permet pas à lui seul de voler les cryptomonnaies. Le risque devient en revanche critique lorsqu’une victime saisit sa phrase de récupération dans l’application ou le site frauduleux proposé par l’attaquant.
Trezor indique que ses portefeuilles, son application et ses propres systèmes n’ont pas été compromis. L’incident concerne le prestataire tiers utilisé pour ses campagnes marketing. L’entreprise considère néanmoins les quelque 347 000 adresses de sa newsletter comme potentiellement connues de l’attaquant et susceptibles d’être utilisées dans de futures campagnes de phishing.
CoinTracking également utilisé pour piéger ses utilisateurs
CoinTracking, plateforme spécialisée dans le suivi des portefeuilles de cryptomonnaies et le calcul de la fiscalité associée, a également alerté ses utilisateurs après l’incident chez son prestataire d’e-mailing.
Un message frauduleux intitulé « Data Breach Notice: Please refresh API Keys as soon as possible » a été envoyé en se faisant passer pour CoinTracking. Il prétendait qu’une fuite de données nécessitait de renouveler rapidement les clés API utilisées par les clients.
CoinTracking confirme que le message est frauduleux et demande aux personnes l’ayant reçu de ne pas cliquer sur ses liens et de ne communiquer aucun identifiant, mot de passe ou clé API. Les utilisateurs ayant transmis une clé API sont invités à la révoquer directement depuis la plateforme d’échange concernée.
Des campagnes usurpent également l’identité de BitBox
Des messages frauduleux se faisant passer pour BitBox, autre acteur spécialisé dans les portefeuilles matériels de cryptomonnaies, ont également été signalés dans le cadre de cette vague. À ce stade, les informations disponibles permettent surtout d’établir que plusieurs marques du secteur crypto ont été utilisées comme appât.
Cette concentration n’est pas anodine. Une liste de contacts appartenant à un fabricant de portefeuille ou à un service spécialisé dans les cryptomonnaies permet de cibler directement une population susceptible de détenir des actifs numériques.
43 bases de contacts ont été téléchargées
Même après la fermeture du point d’entrée, l’incident peut donc continuer à produire des conséquences. Brevo indique que les contacts de 43 comptes ont été exportés par l’attaquant.
Une session compromise peut être révoquée et un mécanisme d’authentification vulnérable peut être corrigé. Une base de données déjà téléchargée ne peut en revanche plus être récupérée. Les coordonnées extraites peuvent être conservées, revendues, partagées ou réutilisées plusieurs semaines ou plusieurs mois plus tard.
Le contenu exact dépend également de chaque client. Brevo permet de stocker des adresses e-mail, numéros de téléphone et différents attributs personnalisés associés aux contacts. Il faudra donc attendre les notifications envoyées à chacun des comptes touchés pour connaître précisément les informations auxquelles l’attaquant a eu accès.
Un prestataire compromis peut devenir une arme contre ses propres clients
L’incident Brevo illustre une nouvelle fois le risque lié à la chaîne de sous-traitance numérique. Une entreprise peut disposer de systèmes internes correctement protégés et être malgré tout touchée parce qu’un service utilisé pour envoyer ses newsletters, gérer ses commandes ou communiquer avec ses clients est compromis.
Dans le cas présent, l’impact est double. L’attaquant a pu récupérer des bases de contacts, mais également retourner l’outil marketing contre les destinataires eux-mêmes en utilisant certains comptes pour envoyer des messages frauduleux.
Cette méthode donne aux campagnes de phishing un niveau de crédibilité bien supérieur à celui d’un e-mail envoyé depuis une infrastructure inconnue. La victime reçoit une communication provenant d’un canal qu’elle connaît déjà, parfois avec les mêmes mécanismes techniques que les précédentes newsletters légitimes.
Les détenteurs de cryptomonnaies particulièrement exposés
Les conséquences peuvent être particulièrement graves pour les utilisateurs de services crypto. Contrairement au vol d’un simple mot de passe pouvant parfois être bloqué ou réinitialisé, la divulgation d’une phrase de récupération ou d’une clé privée peut permettre à un attaquant de transférer immédiatement les fonds vers une autre adresse.
Une fois la transaction confirmée sur une blockchain, il n’existe généralement aucun mécanisme permettant à une banque ou à un service client d’annuler le transfert. Les messages utilisant l’urgence, une prétendue vulnérabilité ou une fausse fuite de données sont donc particulièrement efficaces pour pousser les victimes à agir rapidement.
Un e-mail provenant de la bonne adresse peut lui aussi être frauduleux
L’incident change également l’un des réflexes habituellement recommandés face au phishing. Contrôler l’adresse de l’expéditeur reste utile, mais ne suffit plus lorsque le compte ou la plateforme d’envoi légitime a elle-même été compromis.
Les utilisateurs concernés doivent donc éviter d’effectuer une opération sensible directement depuis un lien reçu par e-mail. Une demande concernant un portefeuille, une clé API, un mot de passe ou une prétendue urgence de sécurité doit être vérifiée en ouvrant séparément le site ou l’application officielle.
Brevo indique avoir désactivé les liens utilisés dans les campagnes identifiées, renforcé ses protections autour du mécanisme concerné et engagé des démarches à la suite de l’incident. Mais pour les 43 comptes dont les contacts ont été exportés, le risque de nouvelles campagnes frauduleuses pourrait persister bien après la correction de la faille.