Introduzione
Nel marzo 2026, la Commissione Europea è stata colpita da una violazione dei dati che ha riguardato la sua infrastruttura cloud. L’incidente ha coinvolto decine di enti dell’Unione Europea e ha portato alla pubblicazione di centinaia di gigabyte di dati sul dark web. Questo caso illustra in modo molto concreto quanto possano essere vulnerabili anche le grandi istituzioni pubbliche quando la minaccia arriva da un punto inatteso della catena di fornitura software.
Cosa è successo
Tutto è iniziato il 19 marzo 2026, quando un gruppo identificato come TeamPCP ha ottenuto accesso non autorizzato all’infrastruttura cloud della Commissione Europea, ospitata su Amazon Web Services. L’accesso è avvenuto sfruttando una vulnerabilità all’interno di Trivy, uno strumento software molto diffuso utilizzato per analizzare la sicurezza dei sistemi informatici. In altre parole, i responsabili non hanno attaccato direttamente la Commissione, ma hanno compromesso uno strumento di terze parti di cui la Commissione si fidava. Questo tipo di attacco si chiama supply chain compromise, ovvero una compromissione della catena di fornitura.
Attraverso questa porta di accesso, gli attaccanti sono riusciti a sottrarre una chiave di accesso ai servizi cloud, il che ha permesso loro di muoversi all’interno dei sistemi, esplorare i dati disponibili e infine copiarli. La violazione è stata rilevata il 24 marzo 2026, cinque giorni dopo l’accesso iniziale. Il 28 marzo i dati sono stati pubblicati sul dark web dal gruppo ShinyHunters. In totale sono stati sottratti circa 350 gigabyte di dati, pari a circa 91,7 gigabyte una volta compressi. Tra le informazioni trafugate figurano nomi, indirizzi email e messaggi di persone fisiche. L’attacco ha interessato 42 clienti interni della Commissione e almeno 29 altri enti dell’Unione Europea. L’attribuzione dell’accesso iniziale al gruppo TeamPCP è stata effettuata da Aqua Security, l’azienda produttrice di Trivy, e da CERT-EU, il centro di risposta agli incidenti informatici dell’Unione Europea.
Perché è importante
Questo incidente dimostra che anche organizzazioni con risorse significative e procedure di sicurezza consolidate possono essere colpite attraverso software di terze parti considerati affidabili. La quantità di enti coinvolti, almeno 71 tra interni ed esterni, mostra come un singolo punto di accesso compromesso possa avere conseguenze molto ampie. I dati personali pubblicati sul dark web potrebbero essere utilizzati per tentativi di phishing o altri usi illeciti a danno delle persone i cui dati sono stati esposti.
Cosa possono fare aziende e utenti
Le organizzazioni dovrebbero verificare regolarmente i software di terze parti che utilizzano, anche quelli pensati per la sicurezza. Monitorare l’accesso ai sistemi cloud e limitare i privilegi solo al necessario sono pratiche fondamentali. Chi potrebbe essere stato coinvolto dovrebbe prestare particolare attenzione a email sospette nei prossimi mesi.
Takeaway finali
- Gli strumenti di sicurezza stessi possono diventare vettori di attacco se non aggiornati e monitorati.
- Cinque giorni possono essere sufficienti per sottrarre centinaia di gigabyte di dati sensibili.
- La cooperazione tra fornitori privati e istituzioni pubbliche, come dimostrato da Aqua Security e CERT-EU, è essenziale per rispondere rapidamente.
Fonti:
https://www.csoonline.com/article/4154176/cert-eu-blames-trivy-supply-chain-attack-for-europa-eu-data-breach.html
https://cert.europa.eu/blog/european-commission-cloud-breach-trivy-supply-chain
https://www.helpnetsecurity.com/2026/04/03/european-commission-cloud-breach/
https://www.securityweek.com/european-commission-confirms-data-breach-linked-to-trivy-supply-chain-attack/
Fonte: SecurityWeek