פריצת הענן של הנציבות האירופית התחילה בכלי האבטחה Trivy, לפי CERT-EU
CERT-EU פרסמה ב-2 באפריל 2026 את ממצאי החקירה: מפתח AWS שנגנב דרך Trivy איפשר גניבת 91.7 GB מתשתית אתרי הנציבות. ShinyHunters פרסמה את הנתונים.
TL;DR בקצרה
- לפי CERT-EU, הגישה הראשונית לענן של הנציבות הושגה ב-19 במרץ דרך הפריצה לכלי הסריקה Trivy.
- נגנבו כ-91.7 GB דחוסים (340 GB לא דחוסים) מתשתית האחסון של europa.eu, ו-ShinyHunters פרסמה אותם ב-28 במרץ.
- הנתונים נוגעים ל-42 לקוחות פנימיים של הנציבות ולפחות ל-29 גופים נוספים באיחוד.
- הנציבות השתמשה בגרסה פרוצה של Trivy שקיבלה בערוץ העדכונים הרגיל, והתוקפים לא פגעו באתרים עצמם.
לפי CERT-EU, הפריצה לענן של הנציבות האירופית התחילה בכלי האבטחה Trivy. CERT-EU היא צוות התגובה לאירועי סייבר של מוסדות האיחוד האירופי. היא פרסמה את הממצאים ב-2 באפריל 2026. לפי הערכתה ברמת ביטחון גבוהה, התוקפים נכנסו דרך הפריצה ל-Trivy, כלי סריקה של Aqua Security.
התוקפים גנבו כ-91.7 GB דחוסים מחשבון AWS שמפעיל את אתרי europa.eu. ב-28 במרץ קבוצת הסחיטה ShinyHunters פרסמה את הנתונים.
Trivy ופריצת הענן: איך זה קרה
ב-19 במרץ התוקפים השיגו מפתח API של AWS, דרך הפריצה ל-Trivy. הנציבות השתמשה בלי לדעת בגרסה פרוצה של הכלי, שהגיעה אליה בערוץ העדכונים הרגיל. המפתח העניק שליטה בחשבונות AWS נוספים של הנציבות.
באותו יום התוקפים הריצו את TruffleHog, כלי לחיפוש סודות, כדי לאמת מפתחות AWS. אחר כך הם יצרו מפתח גישה חדש למשתמש קיים, כדי שלא יזהו אותם. רק אז התחילו בסריקה של התשתית.
ב-24 במרץ מרכז האבטחה של הנציבות קיבל התראות. הן דיווחו על שימוש חריג ב-API של Amazon ועל עלייה בתעבורה. ב-25 במרץ הנציבות דיווחה ל-CERT-EU. היא ביטלה את הרשאות החשבון ומחקה את המפתחות. לפי CERT-EU, אין סימן שהתוקפים עברו לחשבונות אחרים.
מה נגנב ומי ניזוק מהפריצה
הנתונים קשורים לאתרים של עד 71 לקוחות בשירות האחסון Europa. 42 מהם לקוחות פנימיים של הנציבות, ולפחות 29 הם גופים אחרים באיחוד. הנתונים כוללים שמות, שמות משתמש וכתובות דוא״ל, בעיקר מאתרי הנציבות.
במאגר גם לפחות 51,992 קבצים של דוא״ל יוצא, בנפח 2.22 GB. רובם הודעות אוטומטיות ריקות כמעט לגמרי. אבל הודעות החזרה עלולות להכיל את מה שהמשתמשים עצמם שלחו.
האתרים עצמם נשארו באוויר ולא שונו. הנציבות הודיעה על הפריצה ב-27 במרץ, וכתבה שהמערכות הפנימיות שלה לא ניזוקו. Help Net Security מציין שלא ברור דבר אחד. ייתכן ש-ShinyHunters ביצעה את החדירה, וייתכן שקיבלה גישה מגורם אחר ורק סחטה.
מה ה-Trivy הזה מלמד על שרשרת האספקה
Trivy רץ בתוך תהליכי בנייה ופריסה, CI/CD, ולכן יש לו גישה לסודות רבים. לפי Aqua Security, הכלי של TeamPCP נועד לפעול בתוך תהליכים כאלה. הוא מוציא את הסודות בכמה ערוצים, בהם דומיינים מחקים, מאגרי GitHub ומנהרות של Cloudflare.
CERT-EU מזהירה שעלייה במתקפות על שרשרת האספקה היא איום משמעותי. Help Net Security מוסיף ש-TeamPCP קשורה גם למתקפות על KICS, על LiteLLM ועל Telnyx. המתקפה על Axios, שקרתה באותו שבוע, היא קמפיין נפרד לפי Google.
מה זה אומר עבורכם
- בדקו אם אתם משתמשים ב-Trivy: אם הוא רץ אצלכם, במיוחד ב-GitHub Actions, השוו את הגרסאות להנחיות של Aqua Security. התקינו גרסה בטוחה.
- החליפו סודות של AWS: החליפו כל מפתח שנחשף ל-Trivy בתקופה הפרוצה. התחילו במפתחות שנגישים מתהליכי CI/CD.
- נעלו תלויות: הצמידו GitHub Actions ל-hash מלא של קומיט, ולא לתגית שאפשר להזיז.
- חפשו עקבות ב-CloudTrail: בדקו שימוש חריג ב-STS, הרצה של TruffleHog ויצירת מפתח חדש למשתמש קיים.
- צמצמו הרשאות: תהליך בנייה לא צריך מפתח ענן רחב. הגדירו הרשאות מינימליות והחליפו סודות באופן קבוע.
מה הלאה
בזמן הפרסום של CERT-EU הנציבות מנתחת את מסדי הנתונים שדלפו, ויש סיכוי שיתגלו סוגי נתונים נוספים. היא כבר עדכנה את הלקוחות שנפגעו. היא דיווחה גם ל-EDPS, הרשות האירופית להגנת מידע.
לארגונים קטנים הלקח מעשי. כלי אבטחה מקבל גישה רחבה, ולכן גם הוא ספק שצריך לבדוק ולנעול.
מקורות והרחבה
- European Commission cloud breach: a supply-chain compromiseCERT-EU
- Trivy supply chain attack enabled European Commission cloud breachHelp Net Security
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
