ANALYSES
Commission européenne, données de 30 organismes de l'UE : l'outil open source qui ouvre le cloud
Le 2 avril 2026, CERT-EU a attribué à TeamPCP le vol de données dans le cloud de la Commission européenne, où les attaquants sont entrés avec une clé volée par une version compromise de l'outil open source Trivy : au moins 30 organismes de l'Union concernés. L'analyse : l'outil de sécurité comme porte d'entrée, l'infrastructure partagée et questions pour les renouvellements.
Archives : reconstitution rédigée en novembre 2026
Thème du mois d'avril 2026 · par cybercoverinsurance
Le 2 avril 2026, CERT-EU, l'équipe de réponse aux incidents des institutions européennes, a attribué au groupe TeamPCP le vol d'environ 90 Go de données compressées dans l'infrastructure cloud de la Commission européenne qui héberge les sites Europa.eu. La clé d'accès avait été volée par une version compromise de Trivy, un outil de sécurité open source que la Commission avait téléchargé. Les données, qui concernent la Commission et au moins 29 autres organismes de l'Union, ont été publiées par le groupe ShinyHunters.
Pour qui porte le risque cyber, le cas montre comment la chaîne d'approvisionnement du logiciel open source fait entrer une attaque dans des organisations bien protégées. L'outil compromis était un contrôle de sécurité, et la clé volée donnait accès à une infrastructure partagée par des dizaines d'organismes.
Ce que l'on sait
Le point d'entrée. Selon CERT-EU, la Commission a téléchargé par inadvertance une copie compromise de Trivy, un scanner de vulnérabilités open source. Cette copie a permis aux attaquants de voler une clé API liée à un compte Amazon Web Services de la Commission et d'entrer dans le compte le 19 mars. Le groupe TeamPCP mène depuis des mois, selon Unit 42 de Palo Alto Networks, une campagne systématique contre des projets de sécurité open source (TechCrunch).
Ce qu'ils ont fait. Avec la clé, qui disposait de droits de gestion sur d'autres comptes, les attaquants ont cherché d'autres secrets avec un outil automatique, ont ajouté une nouvelle clé à un utilisateur existant pour ne pas être repérés et ont exfiltré des données. La Commission a confirmé publiquement l'attaque le 27 mars. Le 28 mars, ShinyHunters a publié une archive de 90 Go, environ 340 Go décompressés, contenant des noms, des adresses électroniques, des noms d'utilisateur et le contenu de courriels. Selon CERT-EU, aucun site n'a été mis hors ligne ni modifié et il n'y a pas eu de déplacement vers d'autres comptes de la Commission (BleepingComputer).
Les organismes concernés. L'infrastructure touchée héberge les sites des institutions et agences européennes. Sont potentiellement concernés des dizaines de clients internes de la Commission et au moins 29 autres organismes de l'Union. Environ 52 000 fichiers contiennent des courriels envoyés : selon CERT-EU, il s'agit surtout de messages automatiques, mais ceux revenus en erreur peuvent contenir des données saisies par les utilisateurs (TechCrunch).
Deux groupes. CERT-EU a attribué l'intrusion à TeamPCP et la publication à ShinyHunters. Un membre de ShinyHunters a déclaré à TechCrunch que le groupe avait dérobé une partie des données que TeamPCP avait volées lors d'attaques antérieures (TechCrunch).
Ce que l'on ne sait pas. Le nombre de personnes dont les données ont été exposées, le coût pour la Commission et les autres organismes et la liste complète des organismes concernés n'ont pas été rendus publics. Les dates de la première intrusion diffèrent selon les sources.
L'outil de sécurité comme porte d'entrée
Le contrôle qui ouvre la porte. Trivy sert à trouver des vulnérabilités dans les logiciels. Une version compromise a donné aux attaquants les clés du cloud. C'est le même schéma que celui de tj-actions en 2025 : l'outil utilisé dans la chaîne de développement a accès aux secrets les plus sensibles.
Les clés cloud valent plus que les données. La clé volée disposait de droits de gestion sur d'autres comptes (BleepingComputer). Pour qui porte le risque, la question n'est pas seulement de savoir si l'assuré utilise des logiciels open source, mais quels privilèges ont les identifiants que ces logiciels peuvent atteindre.
Une campagne, pas un incident. TeamPCP a touché plusieurs projets open source à la suite (TechCrunch). Les assurés qui utilisent les mêmes outils sont exposés à la même campagne, même si aucun d'eux n'est la cible choisie.
L'infrastructure partagée
Un compte, des dizaines d'organismes. L'infrastructure touchée héberge les sites de nombreuses institutions et agences (TechCrunch). Comme pour les arrondissements de Londres en novembre 2025, un service partagé lie plusieurs organismes au même incident. Le nombre d'assurés ne dit pas combien d'infrastructures distinctes existent.
Le sinistre porte sur la notification, pas sur l'interruption. Aucun site n'a été mis hors ligne (BleepingComputer). Le coût pour les organismes concernés tient surtout à l'analyse des données, aux notifications aux autorités et aux personnes et au traitement des demandes. Pour un portefeuille d'organismes publics ou de clients d'un fournisseur cloud partagé, c'est un sinistre de responsabilité diffuse.
Deux groupes, deux risques. Ceux qui volent et ceux qui publient ne sont pas les mêmes (TechCrunch). Des données volées par un groupe peuvent finir chez un autre, qui les utilise pour extorquer ou les publie. Un accord avec le premier, s'il y en avait un, ne garantirait rien sur le second.
Ce qu'il faut apporter aux renouvellements
Impact pour les assureursMoyen
Une version compromise d'un outil de sécurité open source a donné accès au cloud de la Commission européenne, avec le vol et la publication de données concernant des dizaines d'organismes de l'Union.
Côté portefeuille, le cas invite à traiter les campagnes contre les outils open source de développement et de sécurité comme un événement de cumul : un seul outil compromis peut atteindre de nombreux assurés sur la même période, avec des vols d'identifiants qui apparaissent des semaines plus tard.