Brevo : 138 comptes clients ouverts par une faille de connexion

Le 10 septembre 2026 à 6 h 30 UTC, Brevo a repéré un attaquant dans des comptes qui n’étaient pas les siens. Deux heures plus tard, la plateforme française d’e-mailing et de CRM, l’ancien Sendinblue, avait fermé la voie d’accès et déconnecté l’ensemble de ses utilisateurs. Entre-temps, 138 comptes clients avaient été ouverts.

Ce chiffre se lit mal. 138, ce n’est pas le nombre de personnes touchées, c’est le nombre de comptes, donc d’organisations clientes. Et un compte d’e-mailing contient, par construction, les fichiers de contacts de son titulaire. Dans l’un d’eux, celui du fabricant de portefeuilles de cryptomonnaies Trezor, la liste de diffusion comptait environ 347 000 adresses.

Ce que Brevo confirme

Brevo a publié un compte rendu d’incident sur sa page de statut. Il tient en quatre chiffres :

• 138 comptes clients accessibles à l’attaquant ;
• 6 comptes utilisés pour envoyer des courriels d’hameçonnage aux contacts qui y étaient enregistrés ;
• 43 comptes dont les contacts ont été exportés ;
• 93 comptes sans activité significative constatée.

La somme dépasse 138. Certains comptes ont donc vraisemblablement subi à la fois un envoi et un export, mais le compte rendu ne le précise pas.

Le mode d’accès n’a rien d’un vol de mots de passe. Selon Brevo, l’attaquant a créé son propre compte, y a activé l’authentification unique (SSO, fondée sur le protocole SAML), puis a invité de vrais utilisateurs de Brevo dans cette configuration. Grâce à un fournisseur d’identité qu’il contrôlait, il a pu se présenter comme ces utilisateurs invités. Cet accès aurait dû rester limité à l’organisation où le SSO était activé. Il a été étendu, à tort, à toutes les organisations que ces utilisateurs pouvaient atteindre.

La plateforme indique avoir réinitialisé toutes les sessions, suspendu les invitations SSO jusqu’à un correctif qui cantonne l’accès à l’organisation propriétaire, et n’avoir vu aucune nouvelle activité de l’attaquant depuis. Elle annonce contacter directement chaque client concerné, déposer plainte et coopérer avec les autorités, et présente ses excuses. Elle demande enfin de ne pas cliquer sur les liens des courriels envoyés pendant l’incident.

Ce que le compte rendu ne dit pas : si les utilisateurs invités devaient accepter l’invitation, combien de contacts ont été exportés au total, quels champs figuraient dans ces exports, ni si la CNIL a été notifiée. Aucune source publique ne le précise.

Ce que d’autres rapportent

Brevo ne nomme aucun client ; les noms viennent des victimes et de la presse.

Trezor a déclaré à BleepingComputer que sa liste d’abonnés volontaires à la lettre d’information, environ 347 000 adresses, avait été touchée. Le message frauduleux annonçait une « vulnérabilité d’entropie STM32 » dans ses portefeuilles et renvoyait vers une application qui réclamait la phrase de sauvegarde du portefeuille. Trezor dit avoir neutralisé le domaine en vingt minutes, après environ 2 500 clics, et prévient que ces adresses pourront resservir pour d’autres campagnes.

Selon Cointelegraph, les comptes de BitBox, autre fabricant de portefeuilles, et de CoinTracking, plateforme de suivi de portefeuilles crypto, ont aussi servi. Chez CoinTracking, le message invitait les utilisateurs à « rafraîchir leurs clés API » après une prétendue fuite.

Un expéditeur légitime, le meilleur des déguisements

La plupart des conseils anti-hameçonnage reposent sur un réflexe : vérifier l’expéditeur. Ici, le réflexe ne sert à rien, parce que l’expéditeur est le bon.

Les mécanismes d’authentification du courriel (SPF, DKIM, DMARC) attestent qu’un message provient d’un serveur habilité à envoyer pour un domaine. Ils sont indispensables contre l’usurpation venue de l’extérieur. Face à un compte légitime détourné, ils valident le message au lieu de le bloquer : ce n’est pas un défaut de configuration, c’est leur définition.

Et l’IA ? Nous ne savons pas si ces messages ont été rédigés avec un modèle de langage, et aucune source ne l’affirme. L’ANSSI note seulement, dans son Panorama de la cybermenace 2025, que les capacités issues de l’IA permettent aux attaquants d’améliorer « le niveau, la quantité, la diversité et l’efficacité de leurs attaques ». Dans cette affaire, la qualité du texte pesait peu. C’est l’enveloppe qui faisait le travail.

L’IA entre plutôt par l’autre porte. Beaucoup d’entreprises branchent sur leur outil d’e-mailing des automatisations, des connecteurs, parfois un assistant qui rédige ou programme les campagnes. Chacun repose sur une clé ou un compte, créé vite et rarement revu. Nous avons détaillé cette question dans quels droits donner à un agent IA.

Si votre entreprise envoie ses campagnes par Brevo ou une plateforme comparable

Lisez le message de votre prestataire, mais pas en cliquant. Après chaque incident médiatisé, des campagnes opportunistes reprennent le nom de la victime. Ouvrez l’interface en tapant l’adresse vous-même.

Regardez ce qui est parti de votre compte. L’historique des campagnes et, si votre outil en tient un, le journal d’activité ou d’exports.

Faites le ménage dans les accès. Utilisateurs inconnus, anciens salariés, agence dont le contrat est terminé, invitations en attente.

Inventoriez les clés API. Une clé par intégration, nommée d’après l’outil qui l’utilise, pour pouvoir en révoquer une sans tout casser. En cas de doute, révoquez et recréez.

Activez la double authentification. Soyons honnêtes : dans le mécanisme décrit par Brevo, l’attaquant passait par une connexion SSO qu’il contrôlait, pas par le mot de passe de ses victimes, et Brevo ne dit pas si ce second facteur l’aurait arrêté. Elle reste la parade contre le scénario le plus courant, celui des identifiants volés.

Gardez SPF, DKIM et DMARC, sans leur demander ce qu’ils ne font pas : les rapports DMARC ne signaleront pas un envoi frauduleux parti de votre propre compte.

Pesez vos obligations si vos contacts ont été exportés. Vous restez responsable du traitement, Brevo en est le sous-traitant. L’article 33.2 du RGPD impose au sous-traitant de vous prévenir « dans les meilleurs délais » ; l’article 33.1 vous impose de notifier la CNIL, si possible sous 72 heures, sauf si la violation n’est pas susceptible d’engendrer un risque pour les personnes. Si ce risque est élevé, l’article 34 exige de les informer.

Nous avions déjà décrit ce schéma dans le maillon faible est le prestataire : vos clients vous ont confié leurs données, pas à l’outil que vous avez choisi. Les réflexes face à un courriel piégé sont au programme de la formation Cybersécurité pour tous, et l’ensemble de nos parcours figure sur la page cybersécurité. Précision constante : DTJ Training n’est pas certifié Qualiopi, sa déclaration d’activité est enregistrée sous le numéro 32800278480, et aucun financement OPCO ou France Travail n’est mobilisable à ce jour.

Un dernier conseil : glissez dès maintenant cette phrase dans vos envois : « Nous ne vous demanderons jamais par courriel votre mot de passe, vos coordonnées bancaires ni de télécharger une application. » Elle apprend à vos abonnés à reconnaître le faux avant qu’il n’arrive.

Sources

• Brevo, compte rendu d’incident « Attacker gained access to client accounts », page de statut status.brevo.com, publié le 10 septembre 2026, consulté le 11 septembre 2026.
• FrenchBreaches, alerte « Brevo victime d’une faille de sécurité : 138 comptes clients compromis », 11 septembre 2026 : signalement initial.
• BleepingComputer, Sergiu Gatlan, « Trezor: 347,000 users targeted in phishing attacks after Brevo breach », 11 septembre 2026 : déclaration de Trezor.
• Cointelegraph, « Brevo Login Breach Affected Trezor, BitBox and CoinTracking », 11 septembre 2026 : BitBox, CoinTracking, contenu des leurres.
• Cryptoast, Hugh Bernard, « Attaque de phishing en cours suite au piratage de la société de marketing numérique Brevo », 11 septembre 2026.
• Cyberattaque.org, Thomas Lazzaroni, « Brevo : 138 comptes compromis, une vaste campagne de phishing frappe Trezor et CoinTracking », 11 septembre 2026.
• Règlement (UE) 2016/679 (RGPD), articles 33 et 34.
• ANSSI / CERT-FR, Panorama de la cybermenace 2025, référence CERTFR-2026-CTI-002, 11 mars 2026.