La Commission européenne piratée : quand le régulateur devient la preuve de ce qu'il dénonce
340 Go de données exfiltrées, 30 entités européennes touchées, des clés DKIM dans la nature. La Commission Européenne qui rédige NIS 2, le Cyber Resilience Act et le règlement sur la cybersolidarité vient de démontrer, à ses dépens, que les directives ne…
340 Go de données exfiltrées, 30 entités européennes touchées, des clés DKIM dans la nature. L'institution qui rédige NIS 2, le Cyber Resilience Act et le règlement sur la cybersolidarité vient de démontrer, à ses dépens, que les directives ne protègent pas contre les erreurs de configuration.
Il y a quelques jours, le groupe TeamPCP faisait les gros titres de la presse tech en compromettant LiteLLM, le package Python le plus populaire de l'écosystème IA, via la compromission préalable du scanner de vulnérabilités Trivy. Supply chain attack en cascade, pivoting de credentials, trois maillons, une semaine. 3,4 millions de téléchargements par jour. L'affaire avait déjà de quoi inquiéter.
Mais la suite est pire.
Le 3 avril 2026, le CERT-EU a publié son rapport d'analyse sur la cyberattaque qui a frappé la Commission européenne fin mars. Et la conclusion est sans ambiguïté : l'intrusion dans l'infrastructure cloud AWS de la Commission est passée par la même porte que LiteLLM. Trivy compromis, clé API AWS volée, pivot latéral, exfiltration massive. Même campagne. Même groupe. Même vecteur.
La Commission européenne, l'institution qui rédige les règles de cybersécurité pour 450 millions d'Européens, a été compromise par une supply chain attack identique à celle qui a touché une bibliothèque Python open source la semaine précédente. Et elle a mis cinq jours à s'en apercevoir.
Comment les pirates sont-ils entrés dans le cloud de la Commission ?
L'accès initial remonte au 19 mars 2026. La Commission a téléchargé, dans le cadre de ses processus normaux, une version compromise de Trivy. L'outil, détourné par TeamPCP lors de la campagne documentée par Wiz, Snyk et Palo Alto Networks, a permis aux attaquants de récolter une clé API AWS associée à l'infrastructure Europa.eu.
La brèche dans Trivy elle-même n'était pas récente. Elle remonte à février 2026, quand TeamPCP a exploité une mauvaise configuration de l'environnement GitHub Actions du scanner, référencée depuis sous l'identifiant CVE-2026-33634, pour implanter du code voleur de credentials dans des versions taguées comme légitimes. Les chaînes d'intégration continue qui utilisaient l'outil récupéraient automatiquement le poison, sans que personne n'ait à cliquer sur quoi que ce soit.
Cette clé disposait de droits de gestion sur d'autres comptes AWS de la Commission. Les attaquants ont ensuite utilisé TruffleHog pour scanner l'environnement à la recherche de secrets supplémentaires, validé les credentials AWS via le Security Token Service, puis créé et attaché une nouvelle clé d'accès à un utilisateur existant pour se fondre dans le trafic légitime.
Le Centre des opérations de sécurité de la Commission n'a déclenché aucune alerte avant le 24 mars. Cinq jours après l'intrusion initiale. Le CERT-EU a été notifié le 25 mars, et l'accès a été révoqué le même jour. La Commission a rendu l'incident public par communiqué le 27 mars, puis a commencé à contacter directement les clients affectés le 31 mars.
Le 28 mars, ShinyHunters, le groupe d'extorsion qui opère BreachForums, a publié les données volées sur son site de fuites darkweb. 91,7 Go compressés, environ 340 Go décompressés.
Qu'est-ce qui a été volé, et pourquoi c'est plus grave qu'une fuite classique ?
Le CERT-EU confirme que le dataset contient des données personnelles (noms, prénoms, noms d'utilisateur, adresses email) provenant principalement des sites web de la Commission mais potentiellement liées à des utilisateurs de multiples entités de l'Union. 51 992 fichiers liés à des communications email sortantes, totalisant 2,22 Go. La plupart sont des notifications automatiques, mais les messages de « bounce-back » contiennent le contenu original soumis par les utilisateurs, ce qui crée un risque réel d'exposition de données personnelles.
Au total, 71 clients du service d'hébergement Europa sont potentiellement affectés : 42 entités internes à la Commission et au moins 29 autres organes de l'Union. Parmi les agences potentiellement touchées, selon les analyses des chercheurs : l'Agence européenne des médicaments, l'Autorité bancaire européenne, l'ENISA elle-même, et Frontex.
Mais le point le plus critique ne figure pas dans les emails. Ce sont les clés DKIM de la Commission qui ont été exfiltrées. DKIM (DomainKeys Identified Mail) est le mécanisme cryptographique qui authentifie qu'un email provient réellement du domaine qu'il prétend représenter. Avec ces clés, un attaquant peut forger des emails qui passent les contrôles d'authentification des domaines officiels de la Commission européenne. Des emails que les filtres antispam de 27 gouvernements membres, de l'OTAN, des partenaires commerciaux, des régulateurs, des milliers de lobbyistes laisseront passer parce qu'ils sont techniquement authentiques.
Un analyste résumait le risque sans détour : avec ces clés, le groupe qui détient les données peut forger des emails qui passent l'authentification des domaines de la Commission, l'outillage parfait pour du spear-phishing visant les États membres et les gouvernements partenaires qui font confiance à une correspondance venue de Bruxelles.
C'est du spear-phishing industriel avec une couverture d'authenticité que même les systèmes les plus avancés ne détecteront pas, tant que la Commission n'aura pas effectué une rotation complète de toutes les clés DKIM affectées. Et à ce jour, elle ne l'a pas confirmé.
Pourquoi la même campagne frappe-t-elle encore et encore ?
L'attribution du CERT-EU est limpide : TeamPCP est responsable de l'intrusion, ShinyHunters de la publication. TechCrunch rapporte qu'un membre de ShinyHunters leur a confirmé en chat avoir volé des données que TeamPCP avait « précédemment prises dans des attaques antérieures ». Cette division du travail (un groupe pour l'accès initial et l'exfiltration, un autre pour l'extorsion et la publication) est un marqueur de professionnalisation de l'écosystème criminel.
La campagne TeamPCP, telle que documentée par CERT-EU, Wiz, Palo Alto Networks Unit 42, Endor Labs et Snyk, a touché en trois semaines cinq écosystèmes (GitHub Actions, Docker Hub, npm, Open VSX, PyPI) et des cibles allant de LiteLLM à Checkmarx KICS, de Telnyx à la Commission européenne elle-même. Mandiant estime que plus de 1 000 environnements SaaS sont activement impactés par les effets en cascade. Google Cloud évalue que « des centaines de milliers de secrets volés pourraient potentiellement être en circulation ».
LiteLLM pèse à elle seule environ 95 millions de téléchargements par mois. Les deux versions piégées, 1.82.7 et 1.82.8, sont restées disponibles sur PyPI près de trois heures avant leur mise en quarantaine, un délai suffisant pour empoisonner des chaînes d'intégration continue partout dans le monde. Et la Commission n'est pas la seule institution de premier plan au tableau de chasse : le fournisseur de données sportives Sportradar, valorisé près de cinq milliards de dollars, a vu exposer les identifiants de production de 161 organisations clientes, dont l'ESPN, Nike et la NBA. Toutes proportions gardées, l'onde de choc se compte en centaines de milliers de machines, au point que l'agence américaine CISA a inscrit la vulnérabilité à son catalogue des failles activement exploitées et fixé aux administrations fédérales une échéance de remédiation au 8 avril.
Le schéma est toujours le même : compromettre un outil de sécurité ou d'infrastructure open source, récolter les credentials qui donnent accès à la cible suivante, pivoter, exfiltrer, passer au maillon suivant. La confiance transitive non vérifiée, transformée en arme offensive.
L'ironie structurelle : le régulateur pris à son propre piège
Et c'est ici que l'affaire cesse d'être un incident technique et devient un cas d'école en gouvernance.
La Commission européenne est l'institution qui a rédigé NIS 2, la directive qui impose aux entités critiques une détection des incidents en 24 heures et une notification rapide. La Commission a mis cinq jours à détecter l'intrusion dans son propre environnement cloud.
La Commission européenne est l'institution qui porte le Cyber Resilience Act, le règlement sur la cybersolidarité, et la refonte du règlement cybersécurité. En janvier 2026, dix jours avant la première brèche de l'année (le piratage de son MDM), elle présentait un nouveau paquet législatif destiné à renforcer les défenses collectives de l'Union.
La Commission européenne est l'institution qui promeut la souveraineté numérique européenne. Son infrastructure web est hébergée chez Amazon Web Services. Et la faille n'est pas venue d'AWS (Amazon a confirmé qu'aucun incident de sécurité n'avait touché ses services). Elle est venue d'une erreur de configuration et de gestion des accès dans l'environnement cloud de la Commission. La faille classique. Celle que NIS 2 est censée prévenir.
Ce n'est pas de l'ironie. C'est un stress test en conditions réelles. Et la Commission l'a échoué.
Que révèle vraiment cette affaire sur le facteur humain ?
Il serait facile de se moquer. C'est d'ailleurs ce que font beaucoup de commentateurs cette semaine. Mais la moquerie passe à côté du vrai sujet.
Ce que cette affaire démontre, c'est que la sophistication réglementaire ne compense pas les défaillances opérationnelles. Vous pouvez rédiger les directives les plus avancées au monde. Si votre Centre des opérations de sécurité ne détecte pas un appel API anormal pendant cinq jours, si vos clés d'accès cloud ne sont pas isolées et rotatées, si votre chaîne de confiance logicielle n'est pas auditée, les directives sont du papier.
Et c'est exactement le même problème que je pointais dans mon analyse du ReCyF : une approche de la sécurité qui formalise des objectifs, documente des processus, structure de la gouvernance, mais qui présume que l'exécution suivra mécaniquement. Elle ne suit pas. Parce que l'exécution dépend de décisions humaines : qui surveille les alertes, qui vérifie les configurations, qui audite les chaînes de confiance, qui décide de traiter un signal faible ou de l'ignorer.
La Commission n'a pas été piratée parce qu'elle manquait de directives. Elle a été piratée parce que quelqu'un, quelque part dans la chaîne opérationnelle, a fait confiance sans vérifier. C'est un biais de confiance par héritage, le même raccourci mental que j'observe chez les organisations qui pensent qu'un outil populaire est forcément sûr.
Le régulateur le plus puissant d'Europe vient de démontrer, involontairement, la thèse que je défends depuis des années : les textes ne protègent personne. Ce sont les décisions humaines, prises sous contrainte cognitive, dans des environnements complexes, qui déterminent si une organisation est réellement sécurisée ou simplement conforme sur le papier.
Et si la Commission européenne peut être piratée, avec ses équipes dédiées, son CERT-EU, ses budgets, ses directives et son arsenal réglementaire, alors posez-vous la question honnêtement : qu'est-ce qui vous fait croire que votre organisation est à l'abri ?
Ce n'est pas une question rhétorique. C'est la seule question qui compte. Parce que si l'institution qui fixe les standards de cybersécurité pour un continent entier se fait compromettre par une erreur de configuration cloud et un outil open source non vérifié, alors aucune taille d'entreprise, aucun budget, aucun label de conformité ne constitue une garantie. La menace ne discrimine pas entre une PME de logistique et l'exécutif européen. Elle cherche le maillon le plus faible dans la chaîne de confiance. Et elle le trouve.
C'est précisément pour ça que la cybersécurité ne peut pas rester un sujet de spécialistes ou de régulateurs. C'est un sujet de dirigeants. C'est un sujet de culture organisationnelle. C'est un sujet de décisions quotidiennes prises par des humains qui n'ont souvent ni la formation, ni les outils, ni le temps de vérifier chaque maillon de la chaîne. Et c'est pour ça que la réponse ne viendra jamais d'une directive de plus. Elle viendra du moment où chaque organisation acceptera qu'elle est une cible, quelle que soit sa taille, et agira en conséquence.
Encore et toujours, le facteur humain.
Christophe Mazzola, christophemazzola.fr Auteur de « Être en cybersécurité ». Poliment paranoïaque depuis toujours.
Sources
- CERT-EU, 3 avril 2026, rapport d'analyse sur la compromission de l'infrastructure cloud de la Commission européenne
- SecurityWeek, 3 avril 2026, « European Commission Confirms Data Breach Linked to Trivy Supply Chain Attack »
- SANS Internet Storm Center, avril 2026, « TeamPCP Supply Chain Campaign: Update 006 » (chiffrages Mandiant, cas Sportradar, échéance CISA)
- Endor Labs, « TeamPCP Isn't Done », sur la compromission de LiteLLM et ses 95 millions de téléchargements mensuels
- ComplexDiscovery, « The DKIM Problem: Why the European Commission Breach Threatens Inboxes Worldwide »
- Help Net Security, 3 avril 2026, « Trivy supply chain attack enabled European Commission cloud breach »
- TechCrunch, 3 avril 2026, « Europe's cyber agency blames hacking gangs for massive data breach and leak »
- BleepingComputer, 3 avril 2026, « CERT-EU: European Commission hack exposes data of 30 EU entities »
- The Record, 3 avril 2026, « EU cyber agency attributes major data breach to TeamPCP hacking group »
- SecurityWeek, 28 mars 2026, « European Commission Reports Cyber Intrusion and Data Theft »
- Cybernews, 31 mars 2026, « It looks bad: inside ShinyHunters' European Commission data breach »
Questions fréquentes
Comment les attaquants sont-ils entrés dans l'infrastructure de la Commission ?
Le 19 mars 2026, la Commission a téléchargé une version compromise de Trivy, détournée par le groupe TeamPCP. Cet outil a permis de récolter une clé API AWS de l'infrastructure Europa.eu, puis de pivoter et d'exfiltrer massivement des données.
Quelle est la donnée la plus critique qui a été volée ?
Au-delà des données personnelles et de 51 992 fichiers d'emails, ce sont les clés DKIM de la Commission qui ont été exfiltrées. Elles permettent de forger des emails passant les contrôles d'authentification des domaines officiels, ouvrant la voie à du spear-phishing industriel.
Qui est responsable de l'attaque ?
Selon l'attribution du CERT-EU, TeamPCP est responsable de l'intrusion et de l'exfiltration, tandis que ShinyHunters, qui opère BreachForums, a publié les données volées le 28 mars 2026. Cette division du travail marque une professionnalisation de l'écosystème criminel.
AWS est-il en cause dans cette compromission ?
Non. Amazon a confirmé qu'aucun incident de sécurité n'avait touché ses services. La faille vient d'une erreur de configuration et de gestion des accès dans l'environnement cloud de la Commission, ainsi que d'une chaîne de confiance logicielle non auditée.
Qu'est-ce que la faille Trivy exploitée dans l'attaque ?
Trivy, le scanner de vulnérabilités d'Aqua Security, a été détourné dès février 2026 : TeamPCP a exploité une mauvaise configuration de son environnement GitHub Actions, référencée sous l'identifiant CVE-2026-33634, pour diffuser des versions piégées qui volaient les credentials des chaînes d'intégration continue les utilisant. C'est l'une de ces versions que la Commission a téléchargée le 19 mars.
Faut-il se méfier des emails provenant des domaines de la Commission ?
Oui, par précaution. Tant que la Commission n'a pas confirmé la rotation complète de ses clés DKIM exfiltrées, un attaquant peut forger des messages qui passent les contrôles d'authentification de ses domaines officiels. Traitez avec prudence toute sollicitation inhabituelle présentée comme émanant de la Commission.
Pourquoi cette affaire est-elle qualifiée d'ironie structurelle ?
La Commission est l'institution qui impose, via NIS 2, une détection rapide des incidents, mais elle a mis cinq jours à détecter l'intrusion dans son propre cloud. L'affaire démontre que la sophistication réglementaire ne compense pas les défaillances opérationnelles.
Sources & méthodologie
- CERT-EU, rapport d'analyse sur la compromission de l'infrastructure cloud de la Commission européenne, 3 avril 2026 :
- SecurityWeek, « European Commission Confirms Data Breach Linked to Trivy Supply Chain Attack », 3 avril 2026 :
- SANS Internet Storm Center, « TeamPCP Supply Chain Campaign: Update 006 », avril 2026 :
- Endor Labs, « TeamPCP Isn't Done », sur la compromission de LiteLLM :
- ComplexDiscovery, « The DKIM Problem: Why the European Commission Breach Threatens Inboxes Worldwide » :
- Help Net Security, « Trivy supply chain attack enabled European Commission cloud breach », 3 avril 2026 :
- TechCrunch, « Europe's cyber agency blames hacking gangs for massive data breach and leak », 3 avril 2026
- The Record, « EU cyber agency attributes major data breach to TeamPCP hacking group », 3 avril 2026
- SecurityWeek, « European Commission Reports Cyber Intrusion and Data Theft », 28 mars 2026
L’auteur
Christophe MazzolaJ’écris sur la cybersécurité telle qu’elle se vit vraiment : gouvernance, facteur humain, et tout ce que les rapports d’audit n’osent pas dire au COMEX. Auteur de « Être en cybersécurité ».
Être en cybersécurité
Une feuille de route cyber en clair, pour tout le monde, pas seulement les experts.