ANALISI
Commissione europea, dati di 30 enti UE: lo strumento open source che apre il cloud
Il 2 aprile 2026 CERT-EU ha attribuito a TeamPCP il furto di dati dal cloud della Commissione europea, entrato con una chiave rubata tramite una versione compromessa dello strumento open source Trivy: coinvolti almeno 30 enti dell'Unione. L'analisi: lo strumento di sicurezza come porta d'ingresso, l'infrastruttura condivisa e domande per i rinnovi.
Archivio: ricostruzione scritta a novembre 2026
Tema del mese di aprile 2026 · di cybercoverinsurance
Il 2 aprile 2026 CERT-EU, la squadra di risposta agli incidenti delle istituzioni europee, ha attribuito al gruppo TeamPCP il furto di circa 90 GB di dati compressi dall'infrastruttura cloud della Commissione europea che ospita i siti Europa.eu. La chiave d'accesso era stata rubata attraverso una versione compromessa di Trivy, uno strumento open source di sicurezza che la Commissione aveva scaricato. I dati, che riguardano la Commissione e almeno 29 altri enti dell'Unione, sono stati pubblicati dal gruppo ShinyHunters.
Per chi assume il rischio cyber il caso mostra come la supply chain del software open source porti un attacco dentro organizzazioni ben protette. Lo strumento compromesso era un controllo di sicurezza, e la chiave rubata dava accesso a un'infrastruttura condivisa da decine di enti.
Cosa si sa
La porta d'ingresso. Secondo CERT-EU, la Commissione ha scaricato inavvertitamente una copia compromessa di Trivy, uno scanner di vulnerabilità open source. La copia ha permesso agli attaccanti di rubare una chiave API legata a un account Amazon Web Services della Commissione e di entrare nell'account il 19 marzo. Il gruppo TeamPCP, secondo Unit 42 di Palo Alto Networks, conduce da mesi una campagna sistematica contro progetti open source di sicurezza (TechCrunch).
Cosa hanno fatto. Con la chiave, che aveva diritti di gestione su altri account, gli attaccanti hanno cercato altri segreti con uno strumento automatico, hanno aggiunto una nuova chiave a un utente esistente per non farsi notare e hanno sottratto dati. La Commissione ha confermato pubblicamente l'attacco il 27 marzo. Il 28 marzo ShinyHunters ha pubblicato un archivio di 90 GB, circa 340 GB non compressi, con nomi, indirizzi email, nomi utente e contenuti di email. Secondo CERT-EU, nessun sito è stato spento o modificato e non c'è stato movimento verso altri account della Commissione (BleepingComputer).
Gli enti coinvolti. L'infrastruttura colpita è quella che ospita i siti delle istituzioni e agenzie europee. Sono potenzialmente coinvolti decine di clienti interni della Commissione e almeno 29 altri enti dell'Unione. Circa 52.000 file contengono email inviate: secondo CERT-EU sono soprattutto messaggi automatici, ma quelli tornati indietro con un errore possono contenere i dati inseriti dagli utenti (TechCrunch).
Due gruppi. CERT-EU ha attribuito l'intrusione a TeamPCP e la pubblicazione a ShinyHunters. Un membro di ShinyHunters ha detto a TechCrunch che il gruppo aveva sottratto parte dei dati che TeamPCP aveva rubato in attacchi precedenti (TechCrunch).
Cosa non è noto. Il numero di persone con dati esposti, il costo per la Commissione e per gli altri enti e l'elenco completo degli enti coinvolti non sono stati resi pubblici. Le date della prima intrusione differiscono tra le fonti.
Lo strumento di sicurezza come porta d'ingresso
Il controllo che apre la porta. Trivy serve a trovare vulnerabilità nel software. Una sua versione compromessa ha dato agli attaccanti le chiavi del cloud. È lo stesso schema visto con tj-actions nel 2025: lo strumento usato nella pipeline di sviluppo ha accesso ai segreti più sensibili.
Le chiavi cloud valgono più dei dati. La chiave rubata aveva diritti di gestione su altri account (BleepingComputer). Per chi assume il rischio, la domanda non è solo se l'assicurato usa software open source, ma quali privilegi hanno le credenziali a cui quel software può arrivare.
Una campagna, non un incidente. TeamPCP ha colpito più progetti open source in sequenza (TechCrunch). Gli assicurati che usano gli stessi strumenti sono esposti alla stessa campagna, anche se nessuno di loro è il bersaglio scelto.
L'infrastruttura condivisa
Un account, decine di enti. L'infrastruttura colpita ospita siti di molte istituzioni e agenzie (TechCrunch). Come per i consigli comunali di Londra a novembre 2025, un servizio condiviso lega più enti allo stesso incidente. Il numero di assicurati non dice quante infrastrutture distinte ci siano.
Il danno è di notifica, non di interruzione. Nessun sito è stato spento (BleepingComputer). Il costo per gli enti coinvolti è soprattutto di analisi dei dati, notifica alle autorità e alle persone, e gestione delle richieste. Per un portafoglio di enti pubblici o di clienti di un fornitore cloud condiviso, è un sinistro di responsabilità diffusa.
Due gruppi, due rischi. Chi ruba e chi pubblica non coincidono (TechCrunch). I dati rubati da un gruppo possono finire nelle mani di un altro, che li usa per estorsione o li pubblica. Un accordo con il primo, se ci fosse, non garantirebbe nulla sul secondo.
Cosa portare ai rinnovi
Impatto per gli assicuratoriMedio
Una versione compromessa di uno strumento open source di sicurezza ha dato accesso al cloud della Commissione europea, con il furto e la pubblicazione di dati relativi a decine di enti dell'Unione.
Sul fronte del portafoglio, il caso suggerisce di trattare le campagne contro gli strumenti open source di sviluppo e sicurezza come un evento di cumulo: un solo strumento compromesso può raggiungere molti assicurati nello stesso periodo, con furti di credenziali che emergono settimane dopo.