歐盟委員會近日確認，其云環(huán)境遭遇嚴重數(shù)據(jù)泄露事件，根源是一場針對開源安全工具 Trivy 的供應(yīng)鏈攻擊。 歐盟計算機應(yīng)急響應(yīng)小組（CERT?EU）將此次攻擊歸咎于網(wǎng)絡(luò)犯罪組織 TeamPCP，攻擊者通過受污染的 Trivy 版本獲取了委員會在亞馬遜云服務(wù)（AWS）上的 API 密鑰，繼而從托管 Europa.eu 平臺的基礎(chǔ)設(shè)施中竊取了約 92GB 壓縮數(shù)據(jù)（約 340GB 未壓縮）。

事件起于 3 月 19 日，歐盟委員會的自動安全流水線在正常更新流程中拉取了已被 TeamPCP 植入惡意代碼的 Trivy GitHub 倉庫版本，后者利用先前憑證輪換不徹底這一弱點，對 trivy?action 倉庫中 77 個版本標簽中的 76 個進行了惡意 force?push。 一旦被拉入 CI/CD 環(huán)境，惡意代碼便會搜集 AWS 憑證并上傳，攻擊者隨即借助 TruffleHog 等工具在云環(huán)境中進一步掃描更多密鑰和敏感信息。

歐盟委員會網(wǎng)絡(luò)安全運營中心直到 3 月 24 日，才通過異常的 Amazon API 調(diào)用行為和網(wǎng)絡(luò)流量激增發(fā)現(xiàn)問題，并在同日啟動事件響應(yīng)；3 月 27 日，委員會對外披露事件，次日，臭名昭著的 ShinyHunters 勒索團伙就在暗網(wǎng)泄露站上公開了被盜數(shù)據(jù)。 CERT?EU 表示，泄露數(shù)據(jù)涉及 Europa.eu 托管服務(wù)多達 71 個客戶，包括 42 個歐委會內(nèi)部客戶及至少 29 個其他歐盟機構(gòu)，內(nèi)容涵蓋近 5.2 萬份外發(fā)郵件文件、姓名列表、用戶名和郵箱地址等信息，潛在受影響機構(gòu)包括歐洲藥品管理局、歐洲銀行管理局、歐盟網(wǎng)絡(luò)安全局（ENISA）以及歐盟邊境與海岸警衛(wèi)局 Frontex 等。

目前，歐盟方面已吊銷受影響密鑰，隔離并加固相關(guān) AWS 賬戶，并依據(jù) 2023/2841 號《網(wǎng)絡(luò)安全條例》向監(jiān)管機構(gòu)報告事件，CERT?EU 正協(xié)調(diào)各受影響實體開展溯源與加固工作。 安全專家指出，此案暴露出政府機構(gòu)在依賴開源工具進行安全掃描與 DevSecOps 時，對供應(yīng)鏈風(fēng)險評估和 CI/CD 行為監(jiān)控的嚴重不足，也再次提醒業(yè)界必須對憑證輪換、第三方倉庫完整性驗證以及實時異常檢測投入更多資源。