Brevo-Sicherheitslücke: 138 Konten gehackt, Phishing gegen Krypto-Nutzer
Veröffentlicht am: 12.09.2026 um 10:43 Uhr | Redaktion boerse-global.de
Der E-Mail-Marketing-Dienstleister Brevo, der früher unter dem Namen Sendinblue firmierte, ist Ziel eines Sicherheitsvorfalls geworden. Am 10. September 2026 wurde bekannt, dass sich Unbefugte über eine Schwachstelle im SAML-SSO-Verfahren Zugriff auf zahlreiche Kundenkonten verschafft haben. In der Folge kam es zu gezielten Phishing-Attacken, die sich insbesondere gegen Nutzer namhafter Krypto-Dienstleister richteten.
Schwachstelle bei SAML-SSO führt zu Konten-Kompromittierung
Nach vorliegenden Informationen gelang es Angreifern, durch die Ausnutzung einer Sicherheitslücke bei der Single-Sign-On-Anmeldung (SAML-SSO) in insgesamt 138 Kundenkonten der Plattform einzudringen. Brevo bestätigte den Vorfall am 10. September 2026 und gab detaillierte Einblicke in das Ausmaß der Kompromittierung.
Von den 138 betroffenen Konten wurden 6 aktiv für den Versand von Phishing-Mails missbraucht. In 43 weiteren Fällen nutzten die Angreifer den Zugang, um Kontaktlisten zu exportieren, während 93 der kompromittierten Konten zum Zeitpunkt der Überprüfung keine Anzeichen von Aktivität aufwiesen. Das Unternehmen betonte, dass nicht die gesamte Kundenbasis betroffen sei, und leitete umgehend Maßnahmen zur Absicherung der Plattform ein.
Der Vorfall zeigt, wie massiv die Schäden durch gezielte Hacker-Angriffe auf Kundenkonten sein können. In diesem kostenlosen Report erfahren Sie, welche psychologischen Tricks Cyberkriminelle anwenden und wie Sie Ihr Unternehmen in 4 Schritten effektiv schützen. Anti-Phishing-Paket jetzt gratis herunterladen
Großangelegte Phishing-Kampagne gegen Trezor-Abonnenten
Einer der am stärksten betroffenen Kunden ist der Hardware-Wallet-Hersteller Trezor. Rund 347.000 Abonnenten des Trezor-Newsletters erhielten am 10. September 2026 eine gefälschte Nachricht mit dem Betreff „Critical Security Alert: STM32 Entropy Vulnerability“. Darin wurden die Empfänger vor einem angeblichen Fehler bei der Entropie-Erzeugung gewarnt.
Laut Berichten klickten etwa 2.500 Empfänger auf die in der Mail enthaltenen Links, bevor die schädliche Domain etwa 20 Minuten nach dem Start der Kampagne abgeschaltet werden konnte. Bereits am 9. September 2026 hatte Trezor Unregelmäßigkeiten bei einem E-Mail-Drittanbieter gemeldet.
Die technische Qualität der Phishing-Mails war dabei ungewöhnlich hoch: Da die Nachrichten über die offizielle Infrastruktur von Brevo versendet wurden, stammten sie von einer authentischen Absenderadresse und verfügten über einen Header von mailing.trezor.io. Zudem bestanden die E-Mails gängige Sicherheitsprüfungen wie SPF, DKIM und DMARC, was ihre Erkennung durch Spam-Filter erschwerte.
Weitere betroffene Plattformen und technische Details
Neben Trezor gerieten auch andere Akteure der Kryptobranche ins Visier der Angreifer. Nutzer der Plattform CoinTracking erhielten am 10. September 2026 Phishing-Mails mit dem Betreff „Data Breach Notice: Please refresh API Keys“, in denen sie aufgefordert wurden, ihre API-Schlüssel zu aktualisieren.
CoinTracking hatte bereits einen Tag zuvor vor der Kampagne gewarnt, nachdem das eigene Konto bei Brevo für den Versand dieser gefälschten Sicherheitswarnungen missbraucht worden war.
Wenn selbst authentische Absenderadressen für Betrug missbraucht werden, benötigen Unternehmen eine proaktive Abwehrstrategie. Experten erklären in diesem kostenlosen E-Book, wie Sie Sicherheitslücken schließen und aktuelle Cyberbedrohungen rechtzeitig erkennen. Gratis Cyber-Security-Leitfaden anfordern
Auch Kunden des Wallet-Anbieters BitBox erhielten ähnliche betrügerische Nachrichten. Branchenanalysten wiesen darauf hin, dass mehrere Unternehmen aus dem Bitcoin-Sektor betroffen waren, die dieselbe Newsletter-Plattform für ihre Kommunikation nutzen.
Sicherheitsforscher stellten fest, dass die Angreifer mindestens drei verschiedene Marken imitierten, um an sensible Nutzerdaten zu gelangen. Zum jetzigen Zeitpunkt wurde berichtet, dass ein Großteil der in den Mails enthaltenen Links bereits seit dem 9. September 2026 nicht mehr funktionsfähig sei.
Der Vorfall unterstreicht die Risiken bei der Nutzung zentraler Kommunikationsdienstleister für Unternehmen mit besonders schutzbedürftigen Kundendaten.
