El ataque no necesitó un exploit. Necesitó una clave.
Brevo (antigua Sendinblue), plataforma francesa de marketing, confirmó en un post-mortem publicado el 17 de septiembre de 2026: atacantes robaron una clave de API de Cloudflare de larga duración, embebida en el código, y la usaron para reescribir el JavaScript en la edge, inyectando scripts maliciosos ClickFix en los sitios de clientes. Hasta 100 mil sitios afectados, más de 5 horas de exposición, con un backdoor de WordPress en la cadena según los análisis.
El perímetro cambió de dirección
El perímetro clásico (firewall, borde de red, DMZ) quedó irrelevante para este vector: nadie invadió Brevo. Alguien usó una credencial legítima de un servicio legítimo para reescribir contenido entregado en masa.
Es la misma tesis que los casos de agentes fuera de autorización impusieron a la IA: filtrar el portón es poco; lo que decide es quién tiene clave y qué alcanza esa clave. La clave de API es el nuevo perímetro porque hoy alcanza lo que el perímetro antiguo protegía: el contenido que el cliente recibe.
La anatomía del antipatrón
El caso tiene tres ingredientes, todos administrables:
- Clave embebida en el código: el hard-code en producción es el antipatrón central. Credencial versionada es credencial entregada, y el versionado es eterno.
- Alcance de masa y vida eterna: una clave que reescribe el JavaScript de la edge de 100 mil sitios no debería existir. Privilegio de masa sin expiración convierte el robo de clave en un evento de cadena.
- Ausencia de monitoreo en el destino: el inyector trabajó más de 5 horas. Quien entrega scripts a sitios de terceros necesita monitorear lo que llega al destino: integridad del asset, alerta de alteración, SRI donde el diseño lo permite.
Ninguno de los tres exige tecnología exótica. Los tres exigen gobernanza de credencial con el mismo rigor de la credencial humana: inventario, alcance, vida corta y alerta de uso anómalo.
El tercero del tercero
La víctima final del caso no era cliente de Cloudflare: era cliente de Brevo, que usaba Cloudflare. Es el cuarto participante de la cadena en su versión credencial: el riesgo vive en la clave que tu proveedor guarda y que tú no auditas.
La pregunta para cada proveedor que toca producción (y para cada script que tu sitio carga) pasa a ser directa: ¿cómo guardas las claves que alcanzan mi ambiente, cuál es su alcance y cómo las rotas? Es la misma due diligence que impuso el caso del core banking, aplicada a la credencial.
El checklist que deja el caso
- Inventario de claves: cada clave de la operación, de quién es, qué alcanza, dónde vive.
- Alcance mínimo y vida corta: nada de privilegio de masa sin expiración; rotación automática que no depende de deploy.
- Fin del hard-code: vault administrado y secreto inyectado en runtime, también en el pipeline.
- Monitoreo del destino: integridad de los assets entregados a terceros y alerta de alteración, con CSP y SRI donde sea posible.
- Due diligence de credencial de proveedor: la pregunta de la clave, hecha antes del incidente.
Conclusión
El caso Brevo es la prueba de que la credencial le ganó al exploit como vector de cadena: una clave, una edge, cien mil sitios.
La respuesta es administrativa antes de ser tecnológica: inventario, alcance, vida corta y visibilidad del destino. Toda operación tiene la clave de la que no sabe dónde está; el caso muestra cuánto vale en manos de quien la encuentra. Inventariar la tuya es el trabajo de esta semana.