Der Cyberangriff auf die Europäische Kommission verdeutlicht die wachsende Bedrohung durch koordinierte Hackergruppen, die gezielt Schwachstellen in der Lieferkette ausnutzen. Nach Angaben der EU-Cybersicherheitsbehörde CERT-EU gelangten die Angreifer über einen kompromittierten Amazon-API-Schlüssel in das System – ein Zugangstoken, das bei unsachgemäßer Verwaltung zu einem kritischen Sicherheitsrisiko wird.
Die Verbindung zur Supply-Chain-Kompromittierung ist entscheidend: TeamPCP soll für die Trivy-Schwachstelle verantwortlich sein, eine Sicherheitslücke im gleichnamigen Open-Source-Sicherheitstool. Die Europäische Kommission erhielt eine manipulierte Version des Tools über reguläre Softwareaktualisierungskanäle – ein Szenario, das zeigt, wie schwierig es ist, böswillige Code-Injektionen zu erkennen.
Das Datendiebstahl-Portfolio ist bemerkenswert: Die Angreifer erbeuteten etwa 52.000 Dateien zu ausgehenden E-Mail-Kommunikationen im Umfang von 2,2 Gigabyte. Nach Einschätzung von CERT-EU waren die meisten dieser Nachrichten automatisierte Systemmitteilungen mit geringem Informationswert. Dennoch birgt die Menge der Bounce-Back-Benachrichtigungen Risiken für die Preisgabe persönlicher Daten.
Besonders besorgniserregend ist die Art der Zugriffsrechte, die die Hacker erlangten: Mit den gestohlenen AWS-Managementrechten hätten sie lateral zu anderen Kommissions-Cloud-Konten wechseln können. Nach aktuellem Stand gibt es dafür jedoch keine Hinweise – ein schwacher Trost angesichts des offensichtlich erlangt Vertrauens in die Infrastruktur.
Das Incident-Timeline offenbart typische Reaktionsmuster: Während der Angriff am 19. März stattfand, erkannte die Kommission das Eindringen erst am 24. März durch Anomalieerkennung. Am 28. März erschienen die gestohlenen Daten bereits im Dark Web unter dem Kürzel ShinyHunters – eine etablierte Masche von Cyberkriminellen, die Daten untereinander weitergeben und kommerzialisieren.
TeamPCP gilt als professionelle Hackergruppe mit diversen Aktivitätsmustern: Neben Dateneraub sind ihr Malware-Operationen wie Ransomware-Kampagnen, Kryptomining und der LiteLLM-Angriff bekannt. Diese Vielseitigkeit deutet auf gut organisierte, finanziell motivierte Cyberkriminelle hin.
Für deutsche Organisationen ist dieser Fall ein Fingerzeig: Auch zentrale europäische Institutionen sind nicht vor Supply-Chain-Angriffen gefeit. Die Lehre lautet: Kontinuierliche Überwachung von Cloud-Zugriffen, strikte Geheimniszugriffsverwaltung und schnelle Anomalieerkennung sind nicht optional, sondern essentiell.