Nach Informationen von BleepingComputer betrifft der Einbruch mindestens ein Konto, über das die kompromittierte Cloud-Umgebung verwaltet wurde. Quellen, die mit dem Vorfall vertraut sind, berichten, dass der Angriff schnell bemerkt wurde und das Reaktionsteam der Kommission für Cybersicherheitsvorfälle nun ermittelt. Eine offizielle Stellungnahme oder Details zu dem Vorfall hat die Kommission bislang nicht veröffentlicht.
Der Angreifer, der die Verantwortung übernahm, kontaktierte BleepingComputer in dieser Woche direkt. Er gab an, mehr als 350 GB Daten erbeutet zu haben, darunter mehrere Datenbanken. Wie er die betroffenen Konten kompromittierte, legte er nicht offen. Als Nachweis übergab er mehrere Screenshots, die belegen sollen, dass er Zugriff auf Daten von Kommissionsmitarbeitern sowie auf einen von ihnen genutzten E-Mail-Server hatte.
Eine Erpressung der Kommission schloss der Täter eigenen Angaben zufolge aus. Stattdessen kündigte er an, die mutmaßlich gestohlenen Daten zu einem späteren Zeitpunkt online zu veröffentlichen.
Es ist nicht der erste Vorfall dieser Art bei der Kommission. Im Februar machte sie einen weiteren Datenabfluss publik, nachdem am 30. Januar entdeckt worden war, dass die zur Verwaltung der Dienstgeräte eingesetzte Mobile-Device-Management-Plattform gehackt worden war. Dieser Vorfall scheint mit ähnlichen Angriffen auf andere europäische Einrichtungen zusammenzuhängen, darunter die niederländische Datenschutzbehörde und Valtori, eine Behörde des finnischen Finanzministeriums. Diese Angriffe nutzten Schwachstellen zur Code-Injektion in der Software Ivanti Endpoint Manager Mobile (EPMM) aus.
Die jüngsten Vorfälle fallen in einen Zeitraum, in dem die Kommission am 20. Januar einen Vorschlag für neue Cybersicherheitsgesetze vorgelegt hatte, mit dem die Abwehr gegen staatlich unterstützte Akteure und Cyberkriminelle gestärkt werden soll, die auf die kritische Infrastruktur Europas zielen. Zudem verhängte der Rat der Europäischen Union kürzlich Sanktionen gegen drei chinesische und iranische Unternehmen, denen Cyberangriffe auf die kritische Infrastruktur von Mitgliedstaaten zur Last gelegt werden.