Die Europäische Kommission hat am Freitag offiziell einen Datenpanne zugegeben, nachdem die Cyberkriminalgruppe ShinyHunters ihre Europa.eu-Plattform erfolgreich angegriffen hatte. Das zunächst von BleepingComputer berichtete Sicherheitsleck betraf mindestens einen Cloud-Account bei Amazon Web Services (AWS). Die Kommission teilte mit, dass sie die Eindämmung des Vorfalls eingeleitet habe und dass ihre internen Systeme nicht beeinträchtigt wurden. “Frühe Erkenntnisse unserer laufenden Ermittlungen deuten darauf hin, dass Daten von diesen Websites entnommen wurden”, heißt es in einer Stellungnahme der EU-Behörde.
Nach Aussagen der Angreifer wurden mindestens 350 Gigabyte an Daten entwendet, darunter mehrere Datenbanken, E-Mail-Server, vertrauliche Dokumente und Verträge. Die Gruppe ShinyHunters veröffentlichte bereits über 90 Gigabyte des Datenmaterials auf ihrer Dark-Web-Leak-Seite als Beweis für den erfolgreichen Diebstahl. Screenshots zeigten, dass die Angreifer Zugriff auf personenbezogene Daten von Kommissionsmitarbeitern hatten.
ShinyHunters ist für eine Serie von hochkarätigen Datenpannen bekannt. In jüngster Zeit wurden der Gruppe auch Verstöße bei Infinite Campus, CarGurus, Canada Goose, Panera Bread, Betterment, SoundCloud und der Dating-Plattform Match Group (Betreiber von Tinder, Hinge, Meetic und OkCupid) zugerechnet. Bei einigen dieser Fälle soll eine breit angelegte Voice-Phishing-Kampagne zum Einsatz gekommen sein, die Single-Sign-On-Konten bei Okta, Microsoft und Google angegriffen hat und über 100 Organisationen betroffen hatte.
Dieser Vorfall ist bereits der zweite größere Sicherheitsvorfall der Kommission innerhalb weniger Monate. Im Februar offenbarte die Behörde, dass ihre Mobile-Device-Management-Plattform zur Verwaltung von Mitarbeitergeräten gehackt worden war.
Die Vorfälle unterstreichen die wachsende Bedrohung für europäische Institutionen und Unternehmen. Die Kommission kündigte an, das Vorfalls zu analysieren und ihre Cybersicherheitsfähigkeiten weiter auszubauen. Alle betroffenen EU-Institutionen werden über den Verstoß benachrichtigt.