Comissão Europeia confirma ataque à supply chain

A Comissão Europeia confirmou uma violação de dados associada a um ataque à cadeia de fornecimento do scanner de vulnerabilidades Trivy, que culminou na exposição de mais de 300 GB de informação armazenada em ambiente AWS.

O incidente ocorreu no passado dia 24 de março e afetou a infraestrutura cloud que suporta a plataforma Europa.eu, utilizada para alojar websites da Comissão Europeia e de outras entidades da União Europeia.

De acordo com o CERT-EU, os atacantes exploraram uma chave API comprometida no âmbito de um ataque ao Trivy, ferramenta da Aqua Security. A Comissão Europeia encontrava-se a utilizar uma versão comprometida do software, obtida através dos canais normais de atualização.

Com acesso à conta AWS, os atacantes criaram novas credenciais e realizaram atividades de reconhecimento, tentando identificar segredos adicionais e expandir o acesso a outros recursos. A chave comprometida permitia ainda controlar outras contas AWS associadas à Comissão.

Durante o ataque foi utilizado o TruffleHog, uma ferramenta comum para detetar credenciais e segredos, com o objetivo de identificar mais pontos de acesso e validar permissões.

Os dados exfiltrados dizem respeito a conteúdos de websites alojados para até 71 clientes do serviço Europa.eu, incluindo 42 entidades internas da Comissão Europeia e pelo menos 29 outras organizações da União Europeia.

Entre a informação comprometida encontram-se dados pessoais como nomes, endereços de email e usernames. Parte dos dados inclui notificações automáticas e conteúdos submetidos por utilizadores, que podem conter informação sensível. A 28 de março, o grupo ShinyHunters publicou os dados num site de fugas na rede Tor, elevando o impacto do incidente.

A Comissão Europeia reagiu e revogou os acessos comprometidos, substituindo credenciais e notificando as autoridades de proteção de dados. As autoridades confirmaram ainda que os sistemas internos da Comissão não foram afetados.

A análise completa dos dados comprometidos ainda se encontra em curso, devido ao volume e complexidade da informação envolvida.