Brevo 공급망 침해, 외부 스크립트 의존성 점검이 필요한 이유

오늘의 핵심

Brevo의 클라우드 계정에서 탈취된 API 키로 악성 Worker가 배포돼 고객 웹사이트의 임베디드 스크립트에 ClickFix 공격 코드가 삽입됐다. 국내 웹 운영자도 Brevo 연동 여부와 관리자 단말·워드프레스 플러그인을 즉시 점검할 필요가 있다.

확인된 사실

• 공격자는 Brevo의 장기 Cloudflare API 키를 탈취해 악성 Worker를 배포하고 CDN 경계에서 웹 응답을 변조했다. 근거 [1] [2]
• 악성 코드는 Brevo 자체 페이지뿐 아니라 고객 사이트에 삽입되는 폼, Conversations 위젯, SDK 로더에도 전달됐다. 근거 [1] [2]
• 방문자에게는 명령 실행을 유도하는 가짜 Cloudflare 확인 화면이 표시됐고, 로그인한 워드프레스 관리자에게는 악성 플러그인 설치가 시도됐다. 근거 [1] [2]
• Brevo는 악성 Worker와 경로를 제거하고 침해된 키를 폐기했지만, 당시 설치된 플러그인이나 감염된 방문자 단말에는 후속 조치가 필요하다. 근거 [1] [2]

왜 중요한가

• 외부 마케팅·채팅 SDK 하나의 침해가 이를 삽입한 다수 웹사이트와 방문자에게 동시에 확산될 수 있음을 보여준다.
• 원본 파일이 바뀌지 않고 CDN 경계에서 응답이 변조되면 서버 파일 무결성 검사만으로는 공격을 놓칠 수 있다.
• 국내 서비스가 Brevo를 직접 사용하지 않더라도 동일한 구조의 태그·위젯·분석 스크립트 공급망 위험을 점검할 계기다.

inxight의 관점

• 서드파티 스크립트는 편의 기능이 아니라 서비스와 동일한 권한으로 실행되는 운영 자산으로 분류해야 한다.
• 공급사 상태 페이지 확인에 그치지 말고 실제 브라우저 응답, 보안 헤더 변화, 외부 도메인 호출을 별도로 감시해야 한다.
• API 키는 소스 코드에서 분리하고 최소 권한·단기 토큰·자동 순환을 기본 통제로 적용해야 한다.

실무 체크리스트

• 코드 저장소와 태그 관리 시스템에서 Brevo 폼·Conversations 위젯·SDK 로더 사용 여부를 확인하고 9월 14일 UTC 기준 15:01~20:30의 접속·CSP·프록시 로그를 보존해 조사한다.
• 해당 시간에 로그인 상태로 사이트를 방문한 워드프레스 관리자가 있다면 새로 설치되거나 활성화된 플러그인과 must-use 플러그인 디렉터리를 점검하고 관리자 자격증명을 교체한다.
• 가짜 Cloudflare 확인 화면의 지시에 따라 명령을 실행한 사용자의 단말은 네트워크에서 분리해 악성코드 검사와 계정·세션·API 키 교체를 진행한다.
• 모든 외부 스크립트 목록과 담당자를 정리하고 CSP, 가능한 경우 Subresource Integrity, 로딩 차단 스위치와 장애 대응 절차를 마련한다.