Brevo victime d’une faille de sécurité : un attaquant accède à 138 comptes clients Brevo, plateforme française spécialisée dans l’emailing, le marketing digital et la gestion de la relation client, confirme un incident de sécurité ayant permis à un attaquant d’accéder à 138 comptes clients. La faille concernait le système d’authentification SSO de la plateforme. L’incident a été identifié le 10 septembre 2026 à 6 h 30 UTC. Parmi les comptes accessibles, certains ont été utilisés pour envoyer des e-mails de phishing, tandis que des contacts ont été exportés depuis 43 comptes. Brevo indique avoir fermé la voie d’accès utilisée par l’attaquant à 8 h 30 UTC et déconnecté l’ensemble des utilisateurs de sa plateforme. L’entreprise affirme ne plus avoir observé d’activité de l’attaquant depuis. :::embed ::: Qu’est-ce que Brevo ? Brevo, anciennement connue sous le nom de Sendinblue, est une entreprise française proposant une plateforme destinée à la communication et au marketing numérique. Ses services permettent notamment aux entreprises de gérer : • leurs campagnes d’e-mailing ; • leurs contacts et bases clients ; • leurs campagnes marketing ; • leurs communications transactionnelles ; • leur relation client ; • différents outils d’automatisation marketing. Cette activité implique que certains comptes Brevo peuvent contenir d’importantes bases de contacts appartenant aux entreprises clientes. Une faille permet d’accéder à 138 comptes Brevo Selon Brevo, l’attaquant a exploité une faille dans la manière dont la plateforme gérait l’authentification SAML SSO. Le SSO, ou Single Sign-On, permet à un utilisateur de se connecter à plusieurs services grâce à un système d’authentification centralisé. Dans ce cas, l’attaquant a créé son propre compte Brevo et y a activé le SSO. Il a ensuite invité de véritables utilisateurs Brevo à rejoindre cette configuration. Grâce à son propre fournisseur d’identité, l’attaquant pouvait alors connecter ces utilisateurs invités. Une mauvaise limitation des droits d’accès Le problème provenait de la manière dont Brevo limitait les autorisations accordées via cette authentification. Normalement, une connexion réalisée avec le SSO d'une entreprise aurait dû permettre d’accéder uniquement au compte de cette organisation. Brevo reconnaît que cette séparation n’était pas correctement appliquée. L’accès pouvait ainsi être étendu aux différentes organisations auxquelles les utilisateurs concernés avaient eux-mêmes accès. Cette faille a permis à l’attaquant d’atteindre 138 comptes Brevo. Des e-mails de phishing envoyés depuis des comptes compromis L’attaquant ne s’est pas contenté d’accéder aux comptes. Selon Brevo, six des 138 comptes compromis ont été utilisés pour envoyer des e-mails de phishing aux contacts qui y étaient enregistrés. Ces messages présentaient un risque particulier puisqu’ils étaient envoyés depuis une infrastructure légitime. Ils pouvaient ainsi franchir les mécanismes habituels d’authentification des e-mails et apparaître comme des messages légitimes. Brevo indique avoir depuis désactivé tous les liens contenus dans ces e-mails et recommande aux destinataires de ne pas cliquer dessus. Des contacts exportés depuis 43 comptes L’incident a également entraîné une extraction de données. Brevo confirme que l’attaquant a exporté les contacts présents dans 43 comptes clients. L’entreprise ne précise pas, dans son communiqué, le nombre total de contacts concernés ni la nature exacte de toutes les informations contenues dans ces exports. Il est donc important de distinguer 138 comptes auxquels l’attaquant a pu accéder des 43 comptes depuis lesquels des contacts ont effectivement été exportés. Pour 97 comptes, Brevo indique n’avoir identifié aucune activité significative. Brevo ferme la faille et déconnecte tous les utilisateurs Brevo affirme avoir identifié l’incident le 10 septembre à 6 h 30 UTC. Deux heures plus tard, à 8 h 30 UTC, l’entreprise indique avoir fermé la voie utilisée par l’attaquant. Par mesure de sécurité, Brevo a également procédé à la déconnexion de tous les utilisateurs actifs de la plateforme. L’entreprise affirme qu’aucune nouvelle activité de l’attaquant n’a été observée depuis. Les clients affectés doivent par ailleurs être contactés individuellement par Brevo, avec des informations correspondant à leur situation. Un correctif permanent pour sécuriser le SSO Au-delà de la fermeture immédiate du point d’entrée, Brevo annonce travailler sur un correctif permanent. Celui-ci doit permettre de garantir qu’une authentification SSO ne puisse donner accès qu’à l’organisation propriétaire de la configuration SSO concernée. Brevo indique également avoir réactivé les invitations SSO après la mise en place de mesures correctives. Que faire si vous avez reçu un e-mail suspect ? Brevo indique que les messages de phishing envoyés lors de l’incident ont utilisé son infrastructure légitime. Ils pouvaient donc passer les contrôles habituels d’authentification des e-mails et semb
Brevo : fuite de données — ce que l’on sait, que faire
