O ataque não precisou de exploit. Precisou de uma chave.
A Brevo (antiga Sendinblue), plataforma francesa de marketing, confirmou em post-mortem publicado em 17 de setembro de 2026: atacantes roubaram uma chave de API da Cloudflare de longa duração, embutida no código, e a usaram para reescrever JavaScript na edge, injetando scripts maliciosos ClickFix nos sites de clientes. Até 100 mil sites afetados, mais de 5 horas de exposição, com backdoor de WordPress na cadeia segundo as análises.
O perímetro mudou de endereço
O perímetro clássico (firewall, borda de rede, DMZ) ficou irrelevante para esse vetor: ninguém invadiu a Brevo. Alguém usou uma credencial legítima de um serviço legítimo para reescrever conteúdo entregue em massa.
É a mesma tese que os casos de agentes fora de autorização impuseram à IA: filtrar o portão é pouco, o que decide é quem tem chave e o que a chave alcança. A chave de API é o novo perímetro porque hoje ela alcança o que o perímetro antigo protegia: o conteúdo que o cliente recebe.
A anatomia do antipadrão
O caso tem três ingredientes, todos administráveis:
- Chave embutida no código: hard-code em produção é o antipadrão central. Credencial versionada é credencial entregue, e o versionamento é eterno.
- Escopo de massa e vida eterna: uma chave que reescreve o JavaScript da edge de 100 mil sites não deveria existir. Privilégio de massa sem expiração transforma roubo de chave em evento de cadeia.
- Ausência de monitoramento no destino: o injetor trabalhou mais de 5 horas. Quem entrega script para sites de terceiros precisa monitorar o que chega no destino: integridade de asset, alerta de alteração, SRI onde o desenho permite.
Nenhum dos três exige tecnologia exótica. Os três exigem governança de credencial com o mesmo rigor da credencial humana: inventário, escopo, vida curta e alerta de uso anômalo.
O terceiro do terceiro
A vítima final do caso não era cliente da Cloudflare: era cliente da Brevo, que usava a Cloudflare. É o quarto participante da cadeia na versão credencial: o risco mora na chave que o seu fornecedor guarda, e você não audita.
A pergunta para cada fornecedor que toca produção (e para cada script que o seu site carrega) passa a ser direta: como você guarda as chaves que alcançam o meu ambiente, qual o escopo delas e como rotacionam? É a mesma due diligence que o caso do core banking impôs, aplicada à credencial.
O checklist que o caso deixa
- Inventário de chaves: cada chave da operação, de quem é, o que alcança, onde vive.
- Escopo mínimo e vida curta: nada de privilégio de massa sem expiração; rotação automática que não depende de deploy.
- Fim do hard-code: vault gerenciado e segredo injetado em runtime, inclusive no pipeline.
- Monitoração do destino: integridade de assets entregues a terceiros e alerta de alteração, com CSP e SRI onde possível.
- Due diligence de credencial de fornecedor: a pergunta da chave, feita antes do incidente.
Conclusão
O caso Brevo é a prova de que a credencial venceu o exploit como vetor de cadeia: uma chave, uma edge, cem mil sites.
A resposta é administrativa antes de ser tecnológica: inventário, escopo, vida curta e visibilidade do destino. Toda operação tem a chave que não sabe onde está; o caso mostra o que ela vale na mão de quem encontra. Inventariar a sua é o trabalho desta semana.