Commission européenne piratée : 30 entités UE exposées

Ce qui s'est passé

Le CERT-EU a formellement attribué au groupe TeamPCP le piratage de la Commission européenne, une intrusion qui a compromis l'environnement cloud Amazon Web Services de l'institution et exposé jusqu'à trente entités de l'Union, selon les informations publiées par BleepingComputer et SecurityWeek. L'accès initial, daté du 10 mars, repose sur une clé API AWS dotée de droits de gestion sur d'autres comptes cloud, un identifiant dérobé lors d'une précédente compromission et resté valide plusieurs semaines. Les attaquants ont ainsi pu énumérer les ressources hébergées, pivoter latéralement entre les environnements et accéder à des données administratives sensibles avant d'être détectés. Cet incident illustre la fragilité des architectures cloud mutualisées entre agences et la nécessité d'une rotation systématique des secrets, dès lors qu'une seule clé privilégiée suffit à ouvrir l'ensemble du périmètre institutionnel européen.

Après avoir pris pied dans l'infrastructure, les attaquants ont utilisé TruffleHog, un outil de recherche de secrets dans le code, pour identifier d'autres identifiants exploitables. Ils ont ensuite créé de nouvelles clés d'accès rattachées à des utilisateurs existants pour éviter la détection, avant de procéder à l'exfiltration massive de données. Le Centre des opérations de cybersécurité de la Commission n'a détecté aucune activité anormale avant le 24 mars, soit cinq jours après le début de l'intrusion.

Le 28 mars, le groupe d'extorsion ShinyHunters a publié les données volées sous la forme d'une archive de 90 Go (environ 340 Go décompressés) contenant des noms, adresses email et contenus de courriels. Au total, les données de 29 autres entités de l'Union européenne ont été compromises dans cette même opération, selon le rapport du CERT-EU relayé par Dark Reading.

Pourquoi c'est important

Cet incident est l'un des plus graves ayant touché les institutions européennes. Il démontre comment une attaque supply chain — ici la compromission de Trivy — peut servir de tremplin vers des cibles de haute valeur. Le schéma est similaire aux attaques par paquets malveillants sur npm et aux compromissions de plugins WordPress observées récemment : un composant de confiance est détourné pour atteindre des cibles en aval.

TeamPCP s'est imposé comme l'un des groupes les plus prolifiques dans le domaine des attaques supply chain, ciblant GitHub, PyPI, npm et Docker Hub. Leur capacité à pivoter depuis un outil de sécurité (Trivy) vers l'infrastructure cloud d'une institution majeure souligne la nécessité de repenser la gestion des secrets et la rotation des clés API dans les environnements multi-cloud. Le délai de cinq jours entre l'intrusion et la détection interroge également sur les capacités de monitoring des institutions européennes.

Ce qu'il faut retenir (2)

• Auditez immédiatement vos clés API cloud : toute clé ayant pu être exposée via un outil tiers compromis (Trivy, LiteLLM) doit être révoquée et remplacée.
• Implémentez une rotation automatique des secrets et un monitoring des créations de clés d'accès inhabituelles dans vos environnements AWS, Azure et GCP.
• Les outils de sécurité eux-mêmes peuvent devenir des vecteurs d'attaque : intégrez vos scanners de vulnérabilités dans votre périmètre de surveillance supply chain.

Cet incident illustre une tendance de fond documentée par l'ENISA dans son rapport 2026 sur les menaces : les attaques par rebond via la chaîne d'approvisionnement logicielle représentent désormais près d'un tiers des compromissions majeures touchant le secteur public européen, contre moins de 10 % en 2022. La compromission initiale de Trivy, outil open source utilisé par des milliers d'équipes DevSecOps pour scanner les images de conteneurs, a créé un effet de cascade : une seule clé API volée a suffi à ouvrir l'accès à 30 organisations distinctes, démontrant la fragilité des architectures cloud mutualisées lorsque la gestion des secrets n'est pas cloisonnée.

Le délai de détection de cinq jours interroge également la maturité des capacités de surveillance de la Commission, pourtant dotée d'un Centre des opérations de cybersécurité dédié. À titre de comparaison, le Mandiant M-Trends 2026 évalue le temps de détection médian des intrusions cloud à 9 jours au niveau mondial, ce qui place cet incident dans la moyenne haute malgré les moyens institutionnels engagés. L'implication de ShinyHunters, groupe connu pour la revente de données volées lors des campagnes Salesforce et Snowflake en 2025, confirme la spécialisation croissante entre acteurs d'intrusion technique (TeamPCP) et acteurs de monétisation (ShinyHunters), un modèle d'affaires désormais dominant dans l'écosystème cybercriminel.

Ce qu'il faut retenir

Comment sécuriser ses clés API cloud contre les attaques supply chain ?

Cloisonner les permissions IAM

Appliquer le principe du moindre privilège sur chaque clé API AWS : aucune clé opérationnelle ne devrait disposer de droits de gestion transverses sur d'autres comptes cloud. La mise en place de rôles IAM temporaires (STS) plutôt que de clés statiques réduit drastiquement la fenêtre d'exploitation en cas de vol.

Détecter les secrets exposés en continu

Des outils comme TruffleHog ou GitGuardian doivent être déployés en surveillance défensive (et non uniquement offensive) sur les dépôts internes, avec rotation automatique de toute clé détectée en clair dans le code ou les logs, sous 24 heures.

Auditer la chaîne d'approvisionnement logicielle

Vérifier l'intégrité des outils tiers (SBOM, signatures de commits, hash des binaires) avant intégration en CI/CD, et surveiller les alertes CERT-EU/ANSSI relatives aux composants open source largement adoptés comme Trivy.