ANÁLISIS
Comisión Europea, datos de 30 organismos de la UE: la herramienta de código abierto que abre la nube
El 2 de abril de 2026 CERT-EU atribuyó a TeamPCP el robo de datos de la nube de la Comisión Europea, a la que se entró con una clave robada mediante una versión comprometida de la herramienta de código abierto Trivy: al menos 30 organismos de la Unión implicados. El análisis: la herramienta de seguridad como puerta de entrada, la infraestructura compartida y preguntas para las renovaciones.
Archivo: reconstrucción escrita en noviembre de 2026
Tema del mes de abril de 2026 · por cybercoverinsurance
El 2 de abril de 2026 CERT-EU, el equipo de respuesta a incidentes de las instituciones europeas, atribuyó al grupo TeamPCP el robo de unos 90 GB de datos comprimidos de la infraestructura en la nube de la Comisión Europea que aloja los sitios Europa.eu. La clave de acceso se había robado a través de una versión comprometida de Trivy, una herramienta de seguridad de código abierto que la Comisión había descargado. Los datos, que afectan a la Comisión y a al menos otros 29 organismos de la Unión, fueron publicados por el grupo ShinyHunters.
Para quien asume el riesgo cyber el caso muestra cómo la cadena de suministro del software de código abierto lleva un ataque al interior de organizaciones bien protegidas. La herramienta comprometida era un control de seguridad, y la clave robada daba acceso a una infraestructura compartida por decenas de organismos.
Lo que se sabe
La vía de entrada. Según CERT-EU, la Comisión descargó sin saberlo una copia comprometida de Trivy, un escáner de vulnerabilidades de código abierto. La copia permitió a los atacantes robar una clave API vinculada a una cuenta de Amazon Web Services de la Comisión y entrar en la cuenta el 19 de marzo. El grupo TeamPCP, según Unit 42 de Palo Alto Networks, lleva meses con una campaña sistemática contra proyectos de seguridad de código abierto (TechCrunch).
Qué hicieron. Con la clave, que tenía derechos de gestión sobre otras cuentas, los atacantes buscaron más secretos con una herramienta automática, añadieron una nueva clave a un usuario existente para no ser detectados y sustrajeron datos. La Comisión confirmó públicamente el ataque el 27 de marzo. El 28 de marzo ShinyHunters publicó un archivo de 90 GB, unos 340 GB sin comprimir, con nombres, direcciones de correo, nombres de usuario y contenido de correos. Según CERT-EU, ningún sitio se desconectó ni se modificó y no hubo movimiento hacia otras cuentas de la Comisión (BleepingComputer).
Los organismos implicados. La infraestructura afectada aloja los sitios de las instituciones y agencias europeas. Están potencialmente implicados decenas de clientes internos de la Comisión y al menos otros 29 organismos de la Unión. Unos 52.000 archivos contienen correos enviados: según CERT-EU son sobre todo mensajes automáticos, pero los devueltos con error pueden contener datos introducidos por los usuarios (TechCrunch).
Dos grupos. CERT-EU atribuyó la intrusión a TeamPCP y la publicación a ShinyHunters. Un miembro de ShinyHunters dijo a TechCrunch que el grupo había sustraído parte de los datos que TeamPCP había robado en ataques anteriores (TechCrunch).
Lo que no se sabe. No se han hecho públicos el número de personas con datos expuestos, el coste para la Comisión y los demás organismos ni la lista completa de organismos implicados. Las fechas de la primera intrusión difieren entre las fuentes.
La herramienta de seguridad como puerta de entrada
El control que abre la puerta. Trivy sirve para encontrar vulnerabilidades en el software. Una versión comprometida dio a los atacantes las claves de la nube. Es el mismo esquema visto con tj-actions en 2025: la herramienta usada en la cadena de desarrollo tiene acceso a los secretos más sensibles.
Las claves de la nube valen más que los datos. La clave robada tenía derechos de gestión sobre otras cuentas (BleepingComputer). Para quien asume el riesgo, la pregunta no es solo si el asegurado usa software de código abierto, sino qué privilegios tienen las credenciales a las que ese software puede llegar.
Una campaña, no un incidente. TeamPCP atacó varios proyectos de código abierto de forma sucesiva (TechCrunch). Los asegurados que usan las mismas herramientas están expuestos a la misma campaña, aunque ninguno sea el objetivo elegido.
La infraestructura compartida
Una cuenta, decenas de organismos. La infraestructura afectada aloja los sitios de muchas instituciones y agencias (TechCrunch). Como en los ayuntamientos de Londres en noviembre de 2025, un servicio compartido une a varios organismos en el mismo incidente. El número de asegurados no dice cuántas infraestructuras distintas hay.
El daño es de notificación, no de interrupción. Ningún sitio se desconectó (BleepingComputer). El coste para los organismos implicados es sobre todo de análisis de datos, notificación a autoridades y personas, y gestión de solicitudes. Para una cartera de organismos públicos o de clientes de un proveedor de nube compartido, es un siniestro de responsabilidad difusa.
Dos grupos, dos riesgos. Quien roba y quien publica no coinciden (TechCrunch). Los datos robados por un grupo pueden acabar en manos de otro, que los usa para extorsionar o los publica. Un acuerdo con el primero, si lo hubiera, no garantizaría nada sobre el segundo.
Qué llevar a las renovaciones
Impacto para las aseguradorasMedio
Una versión comprometida de una herramienta de seguridad de código abierto dio acceso a la nube de la Comisión Europea, con el robo y la publicación de datos relativos a decenas de organismos de la Unión.
En cuanto a la cartera, el caso sugiere tratar las campañas contra las herramientas de código abierto de desarrollo y seguridad como un evento de cúmulo: una sola herramienta comprometida puede llegar a muchos asegurados en el mismo periodo, con robos de credenciales que salen a la luz semanas después.