สรุปสั้น

แพลตฟอร์มบริหารความสัมพันธ์ลูกค้าและการตลาด Brevo ตกเป็นเหยื่อการโจมตีห่วงโซ่อุปทาน ส่งผลให้โค้ดอันตรายถูก inject เข้าไปในเว็บไซต์กว่า 100,000 แห่ง จุดเริ่มต้นเกิดเมื่อวันที่ 10 กันยายน 2569 เมื่อผู้ก่อภัยคุกคามใช้ช่องโหว่ในการจัดการการล็อกอินแบบ SAML SSO ของ Brevo เข้าถึงบัญชีได้ 138 บัญชี ซึ่งหนึ่งในนั้นเป็นบัญชีของบริษัท Trezor ผู้ให้บริการกระเป๋าเก็บคริปโทเคอร์เรนซี ผู้โจมตีส่งอีเมลฟิชชิงจาก 6 บัญชี และส่งออกรายชื่อผู้ติดต่อของอีก 43 บัญชี ก่อนที่บริษัทจะปิดการเข้าถึงที่ไม่ได้รับอนุญาต

แต่ผู้โจมตีกลับมาอีกครั้งในวันที่ 14 กันยายน คราวนี้ใช้คีย์ API ของ Cloudflare แบบอายุยาว (long-lived) ที่ยึดมาได้ ปล่อย worker ขึ้นมา inject สคริปต์อันตรายเข้าไปในโดเมน brevo.com และ sibforms.com รวมถึงไฟล์ JavaScript สามไฟล์ที่ลูกค้าของ Brevo นำไปฝังบนเว็บไซต์ของตน สคริปต์นี้จะแสดงหน้าปลอมที่เลียนแบบการยืนยันตัวตน “Cloudflare, verify you are human” ให้ผู้เข้าชมบางรายเห็น พร้อมสั่งให้คัดลอกและรันคำสั่งบนเครื่องคอมพิวเตอร์ ซึ่งเป็นเทคนิควิศวกรรมสังคมที่เรียกว่า ClickFix โดย worker อันตรายทำงานอยู่ราว 5 ชั่วโมงครึ่งก่อนถูกลบและเพิกถอนคีย์กับข้อมูลรับรองที่ถูกเจาะ

รายละเอียดข่าว

เว็บไซต์ SecurityWeek รายงานเมื่อวันที่ 18 กันยายน 2569 ว่า บริษัท Brevo เปิดเผยรายละเอียดเหตุการณ์ในบันทึกวิเคราะห์หลังเกิดเหตุ (post-mortem) โดยระบุว่าคีย์ API ของ Cloudflare ที่ถูกยึดนั้นถูกนำไปใช้ในทางที่ผิดครั้งแรกตั้งแต่ช่วงปลายเดือนสิงหาคม 2569 แต่บริษัทยืนยันว่ายังไม่พบการ inject เนื้อหาอันตรายเข้าสู่หน้าเว็บที่ผู้ใช้ทั่วไปเห็นก่อนวันที่ 14 กันยายน ด้านบริษัทความปลอดภัย Sansec ประเมินว่ามัลแวร์ถูกให้บริการอยู่ราว 4 ชั่วโมง และมีเว็บไซต์ที่น่าจะได้รับผลกระทบมากกว่า 100,000 แห่ง

สำหรับเว็บไซต์ที่ใช้ WordPress และฝังวิดเจ็ตของ Brevo ไว้ สคริปต์อันตรายจะพยายามติดตั้งและรันปลั๊กอินหากผู้เข้าชมล็อกอินอยู่ในสถานะผู้ดูแลระบบ (administrator) ซึ่งเปิดทางให้ฝังแบ็กดอร์ลงในเว็บไซต์ได้ Sansec เตือนว่าแม้ขณะนี้ Brevo จะหยุดให้บริการโค้ดอันตรายแล้ว แต่เว็บไซต์ WordPress ที่ได้รับผลกระทบอาจถูกฝังแบ็กดอร์ไว้ และลูกค้าที่เข้าชมเว็บอาจตกเป็นเหยื่อของกล ClickFix ไปแล้ว บริษัทจึงแนะนำให้ทุกเว็บไซต์ที่ใช้ Brevo ตรวจสอบความเสี่ยงที่อาจถูกเจาะ ตรวจหาการติดตั้งปลั๊กอินที่ไม่ได้รับอนุญาต และผู้เข้าชมที่เคยเห็นหน้ายืนยันตัวตนปลอมควรตรวจเครื่องของตนหามัลแวร์

วิธีการโจมตี

การโจมตีครั้งนี้มีสองระลอกที่ต่อเนื่องกัน ระลอกแรกเป็นการเจาะเข้าระบบผ่านช่องโหว่ในกระบวนการ SAML SSO ของ Brevo ทำให้ผู้โจมตีเข้าถึงบัญชีลูกค้าได้ 138 บัญชี แล้วใช้บัญชีเหล่านั้นส่งอีเมลฟิชชิงและดูดรายชื่อผู้ติดต่อออกไป เมื่อถูกปิดการเข้าถึง ผู้โจมตีเปลี่ยนไปใช้จุดอ่อนอีกจุดคือคีย์ API ของ Cloudflare แบบอายุยาวที่ยึดมาได้ ซึ่งเป็นตัวอย่างที่ชัดเจนของความเสี่ยงจากข้อมูลรับรองที่มีอายุการใช้งานนานและมีสิทธิ์กว้าง เพราะเพียงคีย์เดียวก็เปิดทางให้ปล่อย worker ระดับโครงสร้างพื้นฐานได้

worker ที่ปล่อยขึ้นมาทำหน้าที่ inject สคริปต์ JavaScript อันตรายเข้าไปในไฟล์ที่ลูกค้าจำนวนมากฝังบนเว็บของตน ทำให้โค้ดแพร่กระจายไปยังเว็บไซต์นับแสนแห่งพร้อมกันผ่านจุดเดียว จากนั้นสคริปต์จะคัดเลือกแสดงหน้ายืนยันตัวตนปลอมของ Cloudflare ให้ผู้เข้าชมบางราย และใช้เทคนิค ClickFix หลอกให้เหยื่อคัดลอกคำสั่งไปวางและรันบนเครื่องของตนเอง ซึ่งเป็นวิธีที่กำลังแพร่หลายเพราะโยนขั้นตอนการรันโค้ดอันตรายไปให้เหยื่อทำเอง ทำให้เลี่ยงการตรวจจับฝั่งเว็บได้ ส่วนเว็บ WordPress ที่มีผู้ดูแลระบบล็อกอินอยู่จะถูกยกระดับเป็นการติดตั้งปลั๊กอินเพื่อฝังตัวถาวร

ผลกระทบ

ผลกระทบขยายเป็นวงกว้างเพราะ Brevo เป็นแพลตฟอร์มที่ลูกค้านับแสนฝังโค้ดไว้บนเว็บ การเจาะที่ต้นทางเพียงจุดเดียวจึงส่งต่อความเสี่ยงไปยังทุกเว็บที่ใช้บริการทันที ผู้ที่รับผลกระทบมีสามกลุ่ม คือเจ้าของเว็บไซต์ที่อาจถูกฝังแบ็กดอร์โดยเฉพาะเว็บ WordPress ที่ผู้ดูแลเผลอล็อกอินระหว่างถูกโจมตี ผู้เข้าชมเว็บที่อาจรันคำสั่งอันตรายบนเครื่องตัวเองจากกล ClickFix และลูกค้าของ 43 บัญชีที่รายชื่อผู้ติดต่อถูกส่งออกไปซึ่งเสี่ยงต่อการถูกฟิชชิงต่อเนื่อง กรณีนี้ยังสะท้อนว่าแพลตฟอร์ม SaaS ที่ให้ฝังสคริปต์จากส่วนกลางคือจุดรวมความเสี่ยงของห่วงโซ่อุปทานเว็บสมัยใหม่

คำแนะนำ

เจ้าของเว็บไซต์ที่ใช้ Brevo ควรตรวจสอบเว็บของตนว่ามีการติดตั้งปลั๊กอินหรือการเปลี่ยนแปลงที่ไม่ได้รับอนุญาตหรือไม่ โดยเฉพาะเว็บ WordPress ควรตรวจรายการปลั๊กอิน บัญชีผู้ดูแล และไฟล์ที่ถูกแก้ไขในช่วงวันที่ 14 กันยายน หากพบสิ่งผิดปกติควรถือว่าเว็บถูกเจาะและดำเนินการกู้คืนจากสำเนาสำรองที่สะอาด ผู้เข้าชมเว็บที่เคยเห็นหน้า “verify you are human” แล้วถูกสั่งให้รันคำสั่งใด ๆ บนเครื่อง ควรถือว่าเครื่องอาจติดมัลแวร์และสแกนตรวจสอบทันที ในภาพรวมองค์กรควรทบทวนการใช้คีย์ API แบบอายุยาว เปลี่ยนมาใช้คีย์ที่มีอายุสั้นและสิทธิ์จำกัด หมุนเปลี่ยนความลับเป็นระยะ และเฝ้าระวังการเข้าถึง SSO ที่ผิดปกติ เพื่อลดโอกาสที่ข้อมูลรับรองเพียงชิ้นเดียวจะกลายเป็นจุดที่ทำให้ทั้งระบบถูกยึด

แหล่งอ้างอิง