La Commission européenne tombe à son tour dans les griffes des ShinyHunters

Le 27 mars, dans la foulée des révélations de nos confrères de Bleeping Computer, Bruxelles disait publiquement avoir tout récemment été victime d'une cyberattaque.

Selon le communiqué de presse de la Commission européenne, l'incident a été "découvert" le 24 mars et a "affecté son infrastructure Cloud hébergeant la présent de la Commission sur le Web sur la plateforme Europa.eu".

Selon nos confrères, c'est au moins un compte Amazon Web Services (AWS) qui a été compromis.

De son côté, la Commission assure que sa "réponse rapide" a permis de "contenir l'incident et de mettre en œuvre des mesures d'atténuation des risques pour protéger les services et les données, sans perturber la disponibilité des sites Web d'Europa". Toutefois, concède-t-elle, "les premières conclusions de notre enquête en cours suggèrent que des données ont été prélevées sur ces sites Web".

La revendication de l'attaque par ShinyHunters - branche Scattered Lapsus$ Hunters (ou SLSH pour les intimes) -, survenue durant le week-end, conforte cette évaluation : les assaillants disent avoir extrait plus 350 Go de données non compressées. Dans le lot, selon eux, des données de serveurs de messagerie, "des bases de données, des documents confidentiels, des contrats, et bien plus".

SLSH a ouvert sa vitrine à l'automne dernier et, depuis, revendiqué près de 80 victimes. Certaines semblent avoir effectivement été attaquées récemment, dont Odido aux Pays-Bas, attaqué début février, mais assurément pas toutes celles épinglées. Pour bon nombreux, l'antériorité a pu être établie.

Pour la Commission européenne, cet incident s'ajoute à un autre tout récent : le 6 février, elle a révélé qu'une semaine avant, son infrastructure centrale "chargée de la gestion des terminaux mobiles a détecté les traces d’une cyberattaque qui aurait pu permettre d’accéder aux noms et numéros de téléphone portable de certains membres de son personnel".

La Commission n'a alors pas précisé le mode opératoire des assaillants, mais la chronologie laisse à supposer une exploitation des vulnérabilités CVE-2026-1281 et CVE-2026-1340 affectant Ivanti EPMM et alors déjà exploitées.