Brevo : une faille SAML SSO donne accès à 138 comptes clients

Brevo, entreprise française anciennement connue sous le nom Sendinblue et spécialisée dans l’e-mailing, le marketing numérique et la gestion de bases de contacts, a confirmé une faille dans son mécanisme d’authentification SAML SSO. Le 10 septembre à 6 h 30 UTC, l’entreprise a détecté qu’un attaquant pouvait utiliser sa propre configuration SSO pour accéder à des organisations auxquelles les utilisateurs invités avaient eux-mêmes accès. Au total, 138 comptes Brevo ont été atteints. Six auraient servi à envoyer des e-mails de phishing via l’infrastructure légitime de Brevo et les contacts de 43 comptes ont été exportés ; 93 comptes ne présenteraient pas d’activité significative. Brevo dit avoir fermé la voie d’accès à 8 h 30 UTC, déconnecté tous les utilisateurs et lancé un correctif permanent limitant strictement le SSO à l’organisation qui le configure. L’entreprise contacte les clients touchés individuellement et indique avoir déposé plainte. Le cas est sensible car les e-mails frauduleux ont pu paraître authentiques en étant envoyés depuis une infrastructure légitime.