Commission européenne hackée via Trivy : 30 entités UE

Ce qui s'est passé

Le 3 avril 2026, le CERT-EU a officiellement attribué au groupe TeamPCP la cyberattaque ayant visé la Commission européenne. L'intrusion remonte au 19 mars : les attaquants sont parvenus à récupérer une clé API secrète rattachée au compte AWS de l'institution, leur ouvrant un accès privilégié à des ressources cloud sensibles. Cette compromission s'inscrit dans la continuité d'une opération antérieure ciblant Trivy, le scanner de vulnérabilités open source largement déployé, dont la Commission avait involontairement utilisé une version altérée. Le cas Commission européenne hack Trivy supply chain illustre la mécanique désormais classique de l'attaque par la chaîne d'approvisionnement logicielle : compromettre un outil de confiance pour atteindre ses utilisateurs. Selon le CERT-EU, près de 30 entités de l'Union européenne figureraient parmi les victimes potentielles, un périmètre qui reste en cours d'évaluation.

Grâce à la clé AWS volée, l'acteur malveillant a exfiltré des dizaines de milliers de fichiers contenant des informations personnelles, des noms d'utilisateur, des adresses e-mail et du contenu de courriels. La brèche affecte potentiellement 42 clients internes de la Commission européenne et au moins 29 autres entités de l'Union utilisant le service d'hébergement web europa.eu. L'ampleur de cette attaque en fait l'un des incidents les plus significatifs ayant touché les institutions européennes.

Le 28 mars, le groupe d'extorsion ShinyHunters, déjà connu pour ses attaques massives contre des entreprises, a publié les données volées sur son site de fuite du dark web sous la forme d'une archive de 90 Go (environ 340 Go décompressés). TeamPCP, au-delà de cette attaque, est lié à des campagnes de ransomware, de cryptominage et à une série systématique d'attaques supply chain compromettant des projets open source de sécurité.

Pourquoi c'est important

Cette attaque illustre de manière spectaculaire les risques liés à la supply chain logicielle. Un outil de sécurité open source, censé protéger les infrastructures, a servi de vecteur d'intrusion contre l'une des institutions les plus importantes d'Europe. Le scénario rappelle l'attaque SolarWinds de 2020, mais cette fois dans l'écosystème open source. Les organisations qui intègrent des outils open source dans leur pipeline de sécurité doivent impérativement vérifier l'intégrité des binaires téléchargés via des mécanismes comme SBOM et SLSA.

La publication des données par ShinyHunters ajoute une dimension d'extorsion à ce qui était déjà un incident d'espionnage majeur. Les 340 Go de données exposées contiennent potentiellement des communications diplomatiques sensibles, des informations stratégiques sur les politiques européennes et des données personnelles de milliers de fonctionnaires. Les récentes attaques GlassWorm contre les extensions VSCode confirment que la supply chain logicielle reste un angle d'attaque privilégié en 2026.

Ce qu'il faut retenir

• Les outils de sécurité open source ne sont pas à l'abri de la compromission : vérifiez systématiquement les signatures et les hashes des binaires téléchargés avant déploiement.
• La gestion des clés API cloud (AWS, Azure, GCP) doit inclure la rotation automatique et la détection d'anomalies d'utilisation, selon les principes de l'architecture Zero Trust.
• Les entreprises européennes doivent évaluer leur exposition aux services hébergés sur europa.eu et vérifier si leurs données figurent dans la fuite publiée par ShinyHunters.

Cet incident s'inscrit dans une escalade préoccupante des attaques visant la chaîne d'approvisionnement logicielle open source, un vecteur qui a déjà touché des projets emblématiques comme xz-utils en 2024 ou SolarWinds en 2020. Contrairement à ces précédents où la compromission visait directement le code source d'un composant largement déployé, l'attaque contre Trivy exploite la confiance accordée aux outils de sécurité eux-mêmes — un paradoxe qui fragilise l'ensemble de la chaîne de confiance DevSecOps. Les équipes qui utilisaient Trivy précisément pour scanner leurs conteneurs et détecter des vulnérabilités se sont retrouvées exposées par l'outil censé les protéger.

L'impact sectoriel dépasse le seul périmètre de la Commission européenne. Les 29 entités additionnelles compromises via le service d'hébergement europa.eu illustrent un effet de cascade typique des architectures mutualisées : une clé API unique, une fois exfiltrée, a permis un accès transversal à des ressources appartenant à des organisations distinctes. Ce schéma rappelle les risques identifiés dans les audits de conformité NIS 2, qui imposent désormais aux entités essentielles et importantes une cartographie précise de leurs dépendances tierces et de leurs clés d'accès cloud.

Sur le plan chiffré, le volume de données exfiltrées — 90 Go compressés, environ 340 Go décompressés — place cet incident parmi les fuites les plus volumineuses ayant touché une institution européenne en 2026. Le CERT-EU a indiqué avoir renforcé sa surveillance des dépôts open source utilisés par les administrations publiques, tandis que plusieurs agences nationales de cybersécurité de l'UE ont émis des alertes conjointes recommandant l'audit systématique des artefacts téléchargés depuis des registres publics (Docker Hub, GitHub Releases, PyPI).

Réactions et suites de l'enquête

• Le CERT-EU a confirmé la rotation immédiate de l'ensemble des clés AWS exposées après la découverte de la compromission.
• ShinyHunters continue de monétiser les données via son canal d'extorsion habituel, sans confirmation à ce stade d'un paiement de rançon par la Commission.
• TeamPCP fait l'objet d'un suivi renforcé par plusieurs CERT nationaux en raison de son mode opératoire récurrent ciblant les projets open source de sécurité.