Le piratage de la Commission européenne a commencé par la mise à jour d’un outil de sécurité. Dans un rapport publié le 2 avril 2026, l’équipe de réponse aux incidents des institutions de l’Union (CERT-EU) établit que des attaquants ont exfiltré 340 Go de données non compressées. Ces données concernent les sites de jusqu’à 71 clients du service d’hébergement web Europa : 42 clients internes de la Commission et au moins 29 autres entités de l’Union. Le point d’entrée est la compromission de Trivy, attribuée au groupe TeamPCP.
Une clé AWS volée par une mise à jour de Trivy
Le 19 mars 2026, les attaquants ont compromis Trivy, un outil open source d’analyse de vulnérabilités dans les conteneurs. Ils y ont injecté du code malveillant. La Commission a reçu cette mise à jour par ses canaux habituels, et le code a extrait une clé d’API AWS utilisée par ses services d’hébergement web.
Cette clé disposait de droits de gestion sur d’autres comptes AWS de la Commission. Le jour même, les attaquants ont donc lancé l’outil TruffleHog pour chercher d’autres secrets. Autrement dit, l’outil censé protéger les systèmes a ouvert la porte, puis une clé trop puissante a élargi la brèche.
Ce mécanisme porte un nom : l’attaque par la chaîne d’approvisionnement logicielle, ou supply chain. Nous l’avons détaillé à propos de Trivy empoisonné. La confiance accordée aux outils de sécurité en fait une cible de choix, car leurs mises à jour s’installent sans examen.
L’ampleur de la fuite Europa selon le CERT-EU
Le groupe ShinyHunters a d’abord revendiqué le vol de plus de 350 Go de données. Le 28 mars 2026, il a ensuite publié sur le dark web une archive de 91,7 Go compressés, soit 340 Go une fois décompressés.
Parmi les fichiers figurent au moins 51 992 fichiers liés aux courriels sortants, pour 2,22 Go. De plus, selon les attaquants, l’archive contient des contrats, des bases de données et des documents confidentiels. Les données personnelles exposées comprennent des noms, des adresses électroniques et le contenu d’échanges professionnels.
La Commission précise toutefois que ses systèmes internes n’ont pas été affectés et qu’aucun site n’a été mis hors ligne. De son côté, Amazon indique que ses propres services n’ont subi aucun incident de sécurité. La faille tenait donc à une clé confiée au client. L’hébergeur n’est pas en cause.
Cinq jours se sont écoulés entre l’intrusion et la détection. Pendant ce délai, les attaquants ont pu copier tranquillement des dizaines de milliers de fichiers.
Si vos fichiers apparaissent un jour sur un site de ce type, notre article sites de fuites de données : que faire décrit la conduite à tenir.
Cyberattaque contre la Commission européenne : qui notifie quoi
Les institutions de l’Union ne relèvent pas du RGPD. Elles appliquent le règlement (UE) 2018/1725, qui prévoit des obligations équivalentes. La Commission a donc notifié la violation au Contrôleur européen de la protection des données (CEPD) et informé les délégués à la protection des données des entités touchées. Elle a aussi notifié l’incident au CERT-EU, en application du règlement (UE, Euratom) 2023/2841.
Pour une entreprise ou une collectivité française, le schéma reste en pratique comparable. L’article 33 du RGPD impose de notifier la Commission nationale de l’informatique et des libertés (CNIL) dans les 72 heures suivant la découverte d’une violation, sauf absence de risque pour les personnes. Lorsque le risque est élevé, l’article 34 impose en plus d’informer les personnes concernées.
Sur le plan de la sécurité, l’article 32 du RGPD exige des mesures techniques et organisationnelles appropriées. Pour les entités essentielles et importantes, l’article 21 de la directive NIS2 ajoute la sécurité de la chaîne d’approvisionnement. Le piratage de la Commission européenne illustre exactement ce risque.
Les leçons du piratage de la Commission européenne
Auditez d’abord les outils tiers installés dans votre infrastructure, y compris les solutions de sécurité. Vérifiez les signatures des mises à jour. Si vous utilisez Trivy, passez à une version qu’Aqua Security déclare sûre, puis renouvelez tous les secrets AWS qui ont pu être exposés.
Limitez ensuite les droits de chaque clé d’API. La clé volée à la Commission gérait d’autres comptes : appliquez le moindre privilège à chaque couche et segmentez vos environnements cloud, afin qu’un composant compromis n’ouvre pas tout le reste.
Surveillez enfin les accès anormaux à vos services cloud, car cinq jours sans détection suffisent à vider des serveurs. De plus, préparez dès maintenant votre procédure de notification des violations : le jour venu, les 72 heures passent vite.
Sources
Le rapport du CERT-EU, European Commission cloud breach: a supply-chain compromise, fournit la chronologie et les volumes.
La Commission a réagi publiquement dans son communiqué de presse La Commission réagit à la cyberattaque visant sa plateforme web Europa.
Aqua Security décrit la compromission de son outil dans Trivy Supply-Chain Attack: What You Need to Know.
BleepingComputer rapporte la confirmation de la Commission dans European Commission confirms data breach after Europa.eu hack, et Security Affairs la revendication du groupe dans ShinyHunters claims the hack of the European Commission.
