Brevo遭API密钥泄露，恶意剧本波及10万网站

宣布时间 2026-09-18

1. Brevo遭API密钥泄露，恶意剧本波及10万网站


9月17日，Brevo证实攻击者窃取其Cloudflare API密钥，使用该密钥建设恶意Worker，将ClickFix剧本注入其网站及客户网站嵌入的JavaScript文件中。攻击爆发于9月14日，一连约五个半小时，影响brevo.com、sendinblue.com等多个域名及Brevo表单剧本、对话小部件和SDK加载器剧本。该API密钥具有完整账户权限，且硬编码在源代码中，使攻击者能在Brevo区域内建设Workers、路由和DNS纪录而不触发警报。由于Worker在边沿重写响应并删除清静标头，源服务器文件未变，标准完整性检查未能检测到更改。Brevo发明后删除Worker及路由，作废泄露密钥，扫除硬编码凭证和边沿缓存，并称焦点服务与客户数据未受影响。清静公司Sansec称事务可能影响多达10万个使用受影响组件的网站。会见者会看到虚伪Cloudflare验证页面，随后被诱导在Windows上运行下令。WordPress剧本会检查治理员登录并上传伪装成“Web Media Optimizer”的后门插件，该插件可隐藏自身、联系攻击者服务器并天生治理员登录会话。9月14日登录过受影响网站的治理员应检查并移除异常插件，同时轮换密码。


https://www.bleepingcomputer.com/news/security/brevo-supply-chain-attack-injected-clickfix-scripts-on-customer-sites/


2. 美两艘油轮途中遭网络攻击被登船检查


9月17日，美国官员称，上月两艘开往德克萨斯州的油轮途中遭网络攻击，随后被海岸警卫队和联邦视察局登船检查。其中一艘为悬挂利比里亚国旗的原油油轮VL Prosperity，8月1日脱离埃及前往加尔维斯顿。伊朗梅尔通讯社报道称，攻击爆发在8月7日油轮通过直布罗陀海峡时，黑客入侵机舱，滋扰冷却液、发念头转速和燃油运送，并入侵导航和货物系统，切断通讯约30小时。报告宣布一天后，海岸警卫队、联邦视察局等职员登船检查四天；第二艘船于8月24日被检查，两艘船均在抵达墨西哥湾后登船。美国海岸警卫队尚未果真将事务与伊朗联系起来。海岸警卫队网络司令部司令格雷布尔少将称，视察职员发明了恶意网络攻击者的证据，但未发明不清静操作隐患，这是已往一年约40至50次类似检查之一。前海岸警卫队网络官员杜博斯批驳了黑客可完全控制超等油轮的说法，以为更现实的危害是破损足够多单个系统，使清静操作变得难题。视察职员仍在确定两起事务是否关联及伊朗或其他国家行为体是否应认真，杜博斯鞭策对有关伊朗的报道坚持审慎。


https://www.securityweek.com/cyberattacks-on-two-oil-tankers-prompt-coast-guard-fbi-to-board-vessels/


3. 伦敦物业治理公司City Relay遭入侵


9月17日，伦敦物业治理公司City Relay忠言客户，入侵者可能已攻破其Metabase云实例，窃取财务数据、密码和用于会见钥匙的代码。该公司通过电子邮件见告房东，由于“我们之前不知道的平台误差”，攻击者两次会见了第三方提供的云服务，小我私家数据已被提取�？赡苄孤兜氖莅ㄐ彰⒌缱佑始⒌氐恪⒌缁啊⒉莆裥畔ⅰ⒎坎峒昵楹驼嘶苈�。财务数据包括银行账号、排序代码、IBAN、SWIFT参考号及账户名称和地点。攻击者可能还获取了存放钥匙的位置及包管箱密码。City Relay于9月8日得知入侵，9月14日通知受影响客户。该公司还鞭策客户检查银行账户可疑生意，小心网络垂纶和其他诈骗，并更改重复使用的密码。City Relay体现未发明泄露数据被滥用的证据，正与网络清静专家和“相关部分”继续视察。其网站称拥有数百个“相助同伴”，治理着数千处伦敦房产，但尚未透露受影响客户数目。City Relay未指明所使用的误差。


https://www.theregister.com/security/2026/09/17/london-property-manager-breach-may-have-exposed-bank-details-and-lockbox-codes/5297232


4. Gyazo误差致2362万用户纪录泄露


9月17日，Helpfeel旗下图片分享服务Gyazo爆发清静误差，约2362万条用户纪录泄露，包括电子邮件地点和密码哈希值，另泄露约4.9亿条图像元数据纪录，大部分为2019年1月或更早图像，包括组成Gyazo图像链接的ID，可能被用于未经允许审查图像，部分图像审查功效已被暂时禁用。Helpfeel要求所有用户更改密码，并更改其他使用相同或类似密码的服务密码。攻击者使用Gyazo图片上传服务器误差入侵系统，执行恣意下令并会见数据库，但无支付信息泄露。泄露纪录可能包括姓名、电子邮件、密码哈希、用户身份、装备ID、登录会话ID、X集成令牌、Google SSO电子邮件、小我私家资料、语言偏好、注册及最后登录时间、订阅妄想、账单状态和使用统计等。2362万包括匿名账户，Helpfeel仍在统计受影响人数，并已使部分账户失效。Gyazo图像链接由32字符ID组成，链接被分享前图像私密，任何拥有链接者可审查，泄露的ID正是要害部分。受影响元数据纪录约占Helpfeel图像相关数据的14.4%。泄露字段还包括上传IP、用户署理、EXIF位置、OCR文本、图片问题、源URL及私密图像哈希密码。


https://thehackernews.com/2026/09/gyazo-breach-exposes-2362-million-user.html


5. FBI查封DDoS出租平台NightmareStresser域名


9月17日，美国联邦视察局周二查封了NightmareStresser使用的域名，该平台是天下上运行时间最长的漫衍式拒绝服务（DDoS）平台之一。像NightmareStresser这样的“Booter services”是DDoS攻击出租服务，允许任何人租用由被入侵的路由器和种种物联网装备组成的大型僵尸网络，对在线平台和服务提倡大规模DDoS攻击。在被关闭之前，nightmare-stresser[.]com和nightmarestresser[.]org自称是“排名第一的在线IP攻击工具”和“唯一24/7全天候可用的DDoS工具”。据网络清静公司Searchlight Cyber在2023年报道，NightmareStresser拥有凌驾566,000名注册用户和52台专用服务器，可以提倡高达200 Gbps的DDoS攻击，目的包括网络的多个层级，包括第7层应用协媾和第4层TCP/UDP协议。美国联邦视察局网络部分周三体现，自2022年以来，NightmareStresser Booter服务被用于提倡数十万次针对全球受害者的现实或未遂DDoS攻击。此次执法行动获得了“电力中止行动”的支持，这是一项由国际执法机构协调开展的行动，旨在拆除全球规模内的犯法DDoS雇佣攻击基础设施。


https://www.bleepingcomputer.com/news/security/fbi-seizes-nightmarestresser-service-linked-to-thousands-of-ddos-attacks/


6. 国际流星组织遭网络攻击，网站大部分功效瘫痪


9月14日，国际流星组织（IMO）因遭受网络攻击，网站大部分内容仍处于离线状态，预计需数周才华恢复。这家总部位于比利时的非营利组织认真协调全球流星视察，现在仅提供一个简化的占位页面诠释故障。该机构体现，攻击对老旧基础设施造成严重破损，导致网站大部分功效瘫痪，在过渡到新基础设施时代将泛起数周部分服务中止。IMO尚未披露攻击时间、入侵方法及数据是否被会见或加密。该组织优先恢复了火球报告功效，用户仍可提交视察效果，但网站其他部分仍无法会见。重修历程预计一连数周，批注问题不但限于恢复受损服务器，但该组织未透露损失水平。此次事务还引发了对受影响系统中存储数据的疑问，IMO尚未说明用户或孝顺者信息是否泄露。


https://www.theregister.com/cyber-crime/2026/09/14/cyberattack-sends-international-meteor-organization-crashing-back-to-earth/5296282