Brevo确认供应链攻击：Cloudflare API密钥被盗，客户站点嵌入恶意ClickFix脚本

据 BleepingComputer 报道，Brevo 确认其遭遇一起供应链安全事件：攻击者窃取了一个 Cloudflare API 密钥，并利用该密钥向 Brevo 自身网站以及嵌入在客户网站中的 JavaScript 文件注入恶意 ClickFix 脚本，从而尝试分发恶意软件。来源发布时间为 2026 年 9 月 18 日。对于使用 Brevo 相关嵌入脚本、表单或营销组件的网站运营者来说，这类事件的风险不只停留在服务商一侧，也可能通过第三方脚本链路影响访问者与终端设备安全。

从隐私与 VPN 用户角度看，此事再次提醒：网页安全并不只取决于访问的网站本身。即便用户访问的是熟悉的站点，只要该站点加载了被篡改的第三方 JavaScript，浏览器端也可能接触到恶意脚本。供应链攻击的危险在于信任链被滥用，攻击者不需要逐一入侵大量客户网站，只要控制关键服务商资源或配置，就可能扩大影响面。

事件核心：被盗 API 密钥用于注入恶意脚本

来源显示，Brevo 确认攻击者获取了一个 Cloudflare API 密钥，并借此修改了与其网站和客户站点嵌入文件相关的内容。恶意内容被描述为 ClickFix 脚本，这类手法通常会诱导用户执行某些看似修复问题、验证身份或继续访问的操作，最终可能导致恶意软件分发。

在这起事件中，值得关注的不是单个网页被挂马，而是第三方服务的脚本被用作传播渠道。许多网站会加载营销、邮件订阅、自动化或统计类脚本，这些脚本往往被浏览器默认为页面的一部分执行。一旦上游脚本被篡改，访问者可能在没有明显警告的情况下暴露于风险之中。

• 受影响链路：Brevo 自身网站及嵌入到客户网站的 JavaScript 文件。
• 攻击入口：据报道为被盗的 Cloudflare API 密钥。
• 攻击目的：通过注入恶意 ClickFix 脚本分发恶意软件。
• 潜在受众：访问相关客户网站的普通用户，以及使用这些脚本的网站运营方。

对网站运营者的影响：第三方脚本需要重新纳入风险管理

不少网站把第三方脚本视为“即插即用”的功能模块，但这类组件本质上拥有很高的页面执行权限。它们可以影响用户看到的内容、加载的资源，甚至在特定条件下引导用户离开原页面或执行额外操作。此次事件说明，第三方服务账号、DNS/CDN 配置与 API 密钥管理同样属于网站安全边界的一部分。

对网站管理员而言，若曾在页面中嵌入 Brevo 相关 JavaScript，建议尽快核查近期页面加载内容、脚本哈希、浏览器控制台异常、用户投诉以及安全告警记录。即便服务商已处理事件，站点自身仍应检查是否存在缓存、镜像、旧版脚本或被污染的部署流程。尤其是依赖 CDN、标签管理器或营销自动化工具的网站，更应梳理第三方资源清单，避免安全责任被“外包”后无人持续监控。

隐私与 VPN 用户该如何理解风险

VPN 可以帮助用户加密本地网络到 VPN 服务器之间的连接，降低公共 Wi-Fi、运营商链路或本地网络监听带来的隐私风险；但需要明确的是，VPN 并不能直接阻止一个合法网页加载被篡改的脚本。因此，面对供应链脚本攻击，用户仍需要依赖浏览器安全机制、系统防护、谨慎操作习惯和站点自身治理。

如果用户在访问某些网站时遇到要求复制命令、安装所谓修复工具、关闭安全设置或下载未知文件的提示，应保持警惕。ClickFix 类攻击的关键往往是诱导用户“手动完成最后一步”，因此不要按网页弹窗指示执行系统命令或安装不明软件，是降低感染风险的基础措施。

对于经常在公共网络环境中办公、访问多个 SaaS 平台或管理后台的用户，使用可信的加密连接仍有必要；RedGate VPN 可作为保护网络传输隐私的可选方案之一。但在本事件这类供应链攻击中，更重要的是结合浏览器更新、终端安全软件、最小权限原则和对异常网页提示的辨别能力。

后续观察：API 密钥与脚本完整性会成为重点

这起事件的一个重要启示是：API 密钥一旦泄露，攻击者可能获得远超“登录账号”本身的操作能力。Cloudflare 等基础设施服务通常与域名、缓存、规则、脚本分发相关联，若密钥权限过大或缺少轮换机制，风险会被放大。

对企业和开发团队而言，后续应重点关注密钥轮换、权限最小化、访问审计、脚本完整性校验以及第三方资源加载策略。对普通用户而言，保持系统与浏览器更新、避免执行陌生网页指令、留意异常下载请求，仍是应对这类攻击最现实的防线。供应链安全事件的影响往往跨越服务商、网站和终端用户三层，任何一环缺少防护，都可能让攻击者找到扩散机会。