CERT-EU: взлом IT-инфраструктуры Европейской комиссии привел к утечке информации о 30 организациях ЕС
Изображение: Yuedongzi CHAI (unsplash)
Облачная инфраструктура Европейской комиссии была взломана, и утечка затронула данные не менее чем 29 организаций ЕС. За атакой стоит группировка TeamPCP, а похищенный архив объёмом около 340 ГБ в итоге оказался на площадке даркнет-группы ShinyHunters. Комиссия подтвердила инцидент 27 марта — после запроса от BleepingComputer.
Проникновение началось ещё 10 марта. Злоумышленники добрались к ключу API Amazon Web Services с расширенными правами — он оказался скомпрометирован через атаку на цепочку поставок инструмента Trivy. Внутренние системы мониторинга не замечали ничего подозрительного вплоть до 24 марта, хотя к тому моменту атака уже шла больше двух недель. CERT-EU получил уведомление за двое суток до публичного признания факта взлома.
Получив доступ, атакующие действовали по стандартной схеме охоты за учётными данными. С помощью сканера TruffleHog они обнаружили дополнительные секреты и пароли, после чего добавили новый ключ доступа к уже существующему пользователю — это снизило шансы на обнаружение. Дальше последовали разведка и массовая выгрузка данных.
TeamPCP — группа с историей. Её раньше связывали с атаками на экосистемы разработки, в частности на GitHub, PyPI, NPM и Docker. Один из эпизодов — компрометация пакета LiteLLM в репозитории PyPI, после которой десятки тысяч устройств получили вредоносный инструмент TeamPCP Cloud Stealer, заточенный под кражу конфиденциальных данных.
28 марта группировка ShinyHunters выложила похищенный архив у себя в даркнете. В сжатом виде — около 90 ГБ, в распакованном — примерно 340 ГБ. Внутри оказались имена пользователей, адреса электронной почты и содержимое переписки.
По оценке CERT-EU, атакующие вывели десятки тысяч файлов с персональными данными и служебной информацией. Инцидент затронул 42 внутренних подразделения Еврокомиссии и минимум 29 сторонних организаций, работавших на инфраструктуре europa.eu. Среди утёкших материалов — не менее 51 992 файлов с исходящими письмами общим объёмом 2,22 ГБ. Большинство из них представляют собой автоматические уведомления, однако часть сообщений об ошибках доставки содержит исходные данные пользователей, что дополнительно расширяет масштаб возможного раскрытия персональной информации.
