欧州委員会がAWSのクラウドインフラを標的としたサイバー攻撃インシデントを公表 (2026年4月20日公開)

2026年3月27日、欧州委員会は、Europa.euプラットフォーム上のWebサイトをホストしているクラウド・インフラストラクチャを対象としたサイバー攻撃を2026年3月24日に検知したことを公表した。EUサイバーセキュリティ規則第21条では、EUの諸機関に対し重大なインシデント事案を遅滞なく欧州各機関向けのコンピュータ緊急対応チームである「CERT-EU」に報告することを義務付けている。

CERT-EUによると、2026年3月24日、欧州委員会のサイバーセキュリティ・オペレーション・センター（CSOC）チームが、Amazon APIの不正利用の可能性、アカウント情報の漏えい、および異常なネットワークトラフィックを示す最初のアラートを検知していた。翌3月25日、CERT-EUは、欧州委員会から同委員会のAWSクラウドアカウントの一つが侵害されたとの通知を受けたという。

調査の結果、悪意のある攻撃者が3月19日に「Trivy」のサプライチェーン侵害を通じて、Amazon Web Services（AWS）のシークレット（APIキー）を取得していたことが判明した。このキーにより、欧州委員会に関連する他のAWSアカウントの制御権が奪われました。同日、脅威アクターはさらなるシークレットを探索しようと、シークレットのスキャンや、Security Token Service（STS）を呼び出してAWS認証情報の有効性を検証するために一般的に使用されるツール「TruffleHog」を実行した。なお、STSはAWSリソースへのアクセスやアイデンティティの検証に使用される、有効期間の短いセキュリティ認証情報を生成するAWSのサービスである。

脅威アクターは、検知を逃れる目的で、侵害したAWSシークレットを使用して既存のユーザーに新しいアクセスキーを作成・付与した。その後、偵察活動を行っている。

また欧州委員会は、不正なアクセスを遮断するため、侵害されたアカウントの権限を直ちに無効化した。侵害されたすべてのアクセスキーは、すでに無効化または削除されているという。

CERT-EUは、今回のインシデントの経緯に関して、以下のように整理している。

・3月24日、欧州委員会のサイバーセキュリティ・オペレーション・センターは、Amazon APIの不正利用の可能性、アカウント情報の漏えい、およびネットワークトラフィックの異常な増加に関するアラートを検知した。翌3月25日、欧州委員会よりCERT-EUに通知された。 ・初期侵入は、サプライチェーン攻撃ツール「Trivy」の侵害を通じて行われたと評価していいる。この攻撃は、TeamPCPとして知られる脅威アクターによるものと公に特定されている。 ・侵害されたAWSアカウントから、圧縮状態で約91.7 GBに及ぶ大量のデータが外部に持ち出された。これには、氏名、メールアドレス、メール本文などの個人データが含まれている。 ・3月28日、データ恐喝グループである「ShinyHunters」が、盗み出したデータをダークウェブ上のリークサイトに公開した。 ・侵害されたアカウントは、欧州委員会の複数のWebサイトを運営する技術インフラの一部である。少なくとも他の29のEU関連機関に関するデータが影響を受けている可能性がある。 ・サプライチェーン侵害の増加は重大な脅威であると評価している。すべての組織に対し、本記事に記載された推奨事項を実施することを強く推奨している。

今回のサイバー攻撃による欧州委員会の内部システムへの影響はなかった。欧州委員会は引き続き状況を監視し、内部システムとデータの安全を確保するために必要なあらゆる措置を講じていくとしている。また、本件を分析し、その結果をサイバーセキュリティ能力のさらなる強化に活用する方針である。

欧州が、基幹サービスや民主的な制度を標的とした執拗なサイバー攻撃およびハイブリッド攻撃に直面するなか、欧州委員会はEUのサイバーセキュリティ・レジリエンス（回復力）の向上に積極的に取り組んでいるとしている。

(参考文献) ・European Commission, “Commission responds to cyber-attack on its Europa web platform”, March 27, 2026 https://ec.europa.eu/commission/presscorner/detail/en/ip_26_748 ・CERT-EU. “European Commission cloud breach: a supply-chain compromise”, April 02, 2026 https://cert.europa.eu/blog/european-commission-cloud-breach-trivy-supply-chain

笹原英司 https://www.linkedin.com/in/esasahara/ 旧労働省（現厚生労働省）労働基準監督官を経て、デジタルマーケティング全般（B2B／B2C）および健康医療／介護福祉／ライフサイエンス業界のガバナンス／リスク管理関連調査研究／コンサルティングに従事する 現在は、クラウドセキュリティアライアンス、在日米国商工会議所、在日デンマーク商工会議所などで、スタートアップ企業支援活動を行っている。 千葉大学大学院医学薬学府博士課程修了（博士・医薬学）

Eiji Sasahara, Ph.D., MBA After serving as a Labor Standards Inspector at the former Ministry of Labour (now the Ministry of Health, Labour and Welfare), engaged in various areas, including digital marketing (B2B/B2C) and research, studies, and consulting related to governance and risk management within the healthcare, nursing, welfare, and life sciences industries. Currently, get involved in supporting startup companies through organizations such as the Cloud Security Alliance, the American Chamber of Commerce in Japan, and the Danish Chamber of Commerce in Japan. Hold a Ph.D. in Medical and Pharmaceutical Sciences from the Graduate School of Medical and Pharmaceutical Sciences, Chiba University.