La Comisión Europea sufrió recientemente una grave brecha de datos en su plataforma web principal, europa.eu, como consecuencia de un compromiso en la cadena de suministro que involucró al popular escáner de vulnerabilidades de código abierto, Trivy. El 3 de abril de 2026, CERT-EU publicó un aviso oficial en el que detallaba cómo un actor de amenazas conocido como TeamPCP explotó la herramienta de integración y entrega continua (CI/CD) comprometida para extraer datos de Amazon

La plataforma web principal de la Comisión Europea, “europa.eu”, sufrió recientemente una grave fuga de datos derivada de un compromiso en la cadena de suministro que involucró al popular escáner de vulnerabilidades de código abierto, Trivy.

El 3 de abril de 2026, CERT-EU publicó un aviso oficial detallando cómo un actor de amenazas conocido como TeamPCP explotó la herramienta de integración continua y entrega continua (CI/CD) comprometida para robar claves API de Amazon Web Services (AWS).

Este ataque altamente sofisticado llevó a la exfiltración de más de 340 GB de datos sin comprimir, afectando gravemente a hasta 71 clientes alojados en el servicio de hosting web Europa.

El grupo de extorsión ShinyHunters publicó posteriormente el conjunto de datos robados en su sitio de filtraciones en la dark web. De acuerdo con el Reglamento de Ciberseguridad (UE) 2023/2841, CERT-EU está coordinando activamente la respuesta al incidente para asegurar la infraestructura y mitigar riesgos adicionales en las entidades de la Unión afectadas.

La brecha se remonta al 19 de marzo de 2026, cuando la Comisión Europea descargó sin saberlo una versión comprometida de Trivy a través de los canales normales de actualización de software.

El ataque a la cadena de suministro de Trivy llevó al compromiso

Según la firma de inteligencia de amenazas Aqua Security, el actor de amenazas TeamPCP diseñó específicamente su código malicioso para operar dentro e infiltrarse en las tuberías de CI/CD.

Una vez dentro del entorno de la Comisión, TeamPCP logró adquirir una clave secreta de AWS con derechos de gestión sobre otras cuentas en la nube afiliadas. Para maximizar su alcance, los atacantes desplegaron inmediatamente TruffleHog, una herramienta ampliamente utilizada para escanear secretos.

Utilizaron TruffleHog para validar las credenciales de AWS llamando al Servicio de Token de Seguridad (STS), que genera credenciales de seguridad de corta duración.

Para mantener acceso persistente y no detectado, el actor de amenazas usó la clave secreta de AWS comprometida para crear y adjuntar una nueva clave de acceso a una cuenta de usuario existente antes de iniciar un extenso reconocimiento.

Para el 24 de marzo, el Centro de Operaciones de Ciberseguridad (CSOC) de la Comisión detectó tráfico de red anómalo y posible mal uso de API, lo que desencadenó una respuesta inmediata al incidente.

La cuenta de AWS comprometida formaba el backend técnico de múltiples sitios web públicos pertenecientes a la Comisión Europea. El actor de amenazas exfiltró sistemáticamente aproximadamente 91,7 GB de datos comprimidos, lo que equivale a unos 340 GB sin comprimir.

Este conjunto de datos afectó gravemente a 42 clientes internos de la Comisión Europea y al menos a 29 otras entidades de la Unión.

El 28 de marzo, el notorio grupo de extorsión de datos ShinyHunters se atribuyó la responsabilidad de la filtración, publicando todo el conjunto de datos en su portal de la dark web. Un análisis preliminar de los archivos filtrados confirmó la exposición de datos personales sensibles, incluyendo nombres, apellidos, nombres de usuario y direcciones de correo electrónico de usuarios de múltiples entidades de la Unión.

Además, el volcado contenía más de 51.000 archivos relacionados con comunicaciones de correo electrónico salientes. Aunque la mayoría de estos 2,22 GB de archivos eran notificaciones automáticas del sistema, los investigadores señalaron que los mensajes de "rebote" frecuentemente contenían el contenido original enviado por el usuario, creando un riesgo significativo de exposición más profunda de datos personales. Afortunadamente, no se violaron sistemas internos ni se desfiguraron o desconectaron sitios web.

Los atacantes emplearon una variedad de técnicas establecidas del marco MITRE ATT&CK, notablemente Compromiso de la Cadena de Suministro (T1195.002), Compromiso de Cuentas en la Nube (T1586.003), Cuentas Válidas en la Nube (T1078.004) y Datos del Sistema Local (T1005).

La infraestructura de TeamPCP dependía en gran medida de dominios con errores tipográficos, repositorios maliciosos de GitHub y túneles de Cloudflare para exfiltrar de manera encubierta los secretos en la nube robados. Aunque los atacantes poseían los derechos de gestión necesarios para moverse lateralmente hacia otras cuentas de AWS de la Comisión Europea, los investigadores no han encontrado evidencia de que tal movimiento lateral ocurriera.

En respuesta a la creciente amenaza de ataques a tuberías de CI/CD, CERT-EU recomienda firmemente que todas las organizaciones aborden de inmediato el compromiso de Trivy.

Los equipos de seguridad deben actualizar Trivy a una versión segura conocida, auditar las implementaciones en todos los entornos y rotar meticulosamente todos los secretos de AWS que puedan haber estado expuestos durante la ventana de vulnerabilidad.

La Comisión Europea ya ha dado ejemplo, desactivando rápidamente todas las claves de acceso comprometidas, asegurando sus secretos de AWS y notificando al Supervisor Europeo de Protección de Datos (EDPS) en cumplimiento con el Reglamento (UE) 2018/1725.

Además, los administradores deben restringir el acceso de las tuberías de CI/CD a las credenciales en la nube, aplicando el principio estricto de mínimo privilegio para delimitar adecuadamente los permisos.

Fijar las acciones de GitHub a hashes SHA completos en lugar de etiquetas mutables y habilitar proactivamente los registros de AWS CloudTrail son pasos críticos para detectar llamadas anómalas al STS o el uso de TruffleHog temprano en la cadena de ataque.

Establecer protocolos robustos de gestión de riesgos de proveedores y desplegar monitoreo conductual en tiempo real para entornos de CI/CD es ahora una estrategia esencial para identificar accesos no autorizados a secretos y prevenir futuras catástrofes en la cadena de suministro.

La respuesta al incidente también destaca la importancia crítica del marco legal que regula estas brechas. Según el Artículo 21 del Reglamento de Ciberseguridad, las entidades de la Unión están estrictamente obligadas a reportar incidentes significativos a CERT-EU sin demora indebida, un protocolo que la Comisión Europea siguió al notificar a la agencia en un plazo de 24 horas tras la confirmación.

Este acuerdo de intercambio rápido de información permite a CERT-EU coordinarse con sus homólogos en los Estados miembros, mejorando la detección colectiva y acelerando el proceso de remediación en todo el continente.