Violation de données de la Commission européenne sur Europa.eu en 2026

Le communiqué de presse de la Commission européenne indique explicitement que l’attaque a touché l’infrastructure cloud hébergeant les sites web de la Commission sur la plateforme Europa.eu et que les premiers résultats montraient que des données avaient été dérobées sur ces sites. Cette reconnaissance officielle par l’institution va au-delà d’une simple suspicion de tentative d’accès ou d’un incident de disponibilité : elle confirme qu’une violation de données a effectivement eu lieu.

BleepingComputer a d’abord rapporté qu’au moins un compte Amazon Web Services avait été touché, puis a publié la confirmation de la Commission. AWS a déclaré ne pas avoir subi d’incident de sécurité et a indiqué que ses services avaient fonctionné comme prévu. Cette distinction situe l’intrusion dans l’environnement cloud de la Commission, et non dans une compromission générale d’AWS; la méthode précise utilisée pour l’accès initial n’a pas été établie publiquement.

Le périmètre confirmé comprend l’infrastructure cloud hébergeant les sites web de la Commission européenne sur Europa.eu et les données dérobées sur ces sites. Europa.eu héberge de nombreuses informations publiques et des services institutionnels, mais le communiqué officiel n’a publié aucun inventaire des sites, bases de données ou fichiers touchés.

La Commission a expressément déclaré que ses systèmes internes n’avaient pas été touchés par l’attaque. Cette limite signifie que l’incident ne permet pas d’établir un accès à l’ensemble du réseau de l’institution, à toutes les boîtes de messagerie des employés ou à tous les systèmes de l’Union européenne. L’environnement web dans le cloud et les systèmes internes de l’organisation constituent des périmètres distincts, et cette fiche ne considère pas automatiquement les autres institutions de l’UE comme des victimes.

Le groupe revendiquant l’attaque a déclaré à BleepingComputer avoir dérobé plus de 350 GB de données, dont plusieurs bases de données. Il a ensuite affirmé sur une page du dark web que ces données comprenaient des extractions de serveurs de messagerie, des bases de données, des documents confidentiels et des contrats, et aurait publié une archive de plus de 90 GB. Il s’agit d’affirmations des attaquants; la Commission n’a confirmé ni les volumes ni la liste détaillée des contenus.

Un volume en gigaoctets ne peut pas être converti en nombre de personnes distinctes ou d’enregistrements. Un même fichier peut exister en plusieurs exemplaires, des documents peuvent ne contenir aucune donnée personnelle, et la taille d’une archive compressée peut différer de celle des données sur le système source.

BleepingComputer a examiné des captures d’écran qui, selon l’attaquant, démontraient un accès à des informations appartenant à des employés de la Commission européenne et à un serveur de messagerie utilisé par les employés. Ce travail journalistique fournit un indice indépendant d’accès, mais ne précise pas quels champs de données relatifs aux employés ont été copiés ni si le contenu des boîtes de messagerie a été exfiltré.

La Commission a indiqué qu’elle informait les entités de l’Union susceptibles d’avoir été touchées, mais son communiqué public ne mentionnait aucun champ de données personnelles ni aucun nombre total de personnes. Le périmètre de cette fiche pourra être précisé et son contenu enrichi si l’institution, une autorité de contrôle ou un rapport fiable d’investigation numérique identifie ultérieurement des types de données spécifiques.

La Commission a pris des mesures immédiates pour contenir l’attaque, empêcher tout nouveau vol de données et protéger les services et les données. Les sites Europa sont restés disponibles. Les entités de l’Union susceptibles d’avoir été touchées étaient en cours de notification, et les services de la Commission ont indiqué qu’ils poursuivraient l’enquête sur l’ensemble des répercussions, la surveillance de l’environnement et l’exploitation des résultats pour renforcer leurs capacités de cybersécurité.

Le maintien de la disponibilité des sites web ne signifie pas qu’aucune atteinte à la confidentialité n’a eu lieu. De même, le fait que les systèmes internes n’aient pas été touchés ne remet pas en cause le vol de données dans l’environnement web hébergé dans le cloud. Vous devriez vérifier, en passant par un domaine officiel, l’authenticité des messages inattendus prétendant provenir d’Europa.eu ou d’un organisme de l’UE, et rester vigilant face aux tentatives d’hameçonnage ciblé susceptibles d’exploiter des informations sur le contexte institutionnel qui auraient été dérobées.

Cette fiche décrit l’attaque découverte le 24 mars 2026 dans l’infrastructure cloud de la Commission hébergeant ses sites web sur Europa.eu. La Commission a confirmé que des données avaient été dérobées sur des sites web; les types précis de données, le nombre de fichiers et de personnes concernés, ainsi que la date de début de l’intrusion restent inconnus. La date de l’incident repose sur la première activité technique vérifiable à partir de sources publiques.

Les affirmations concernant 350 GB de données, une archive de 90 GB, des serveurs de messagerie, des documents confidentiels et l’identité d’un acteur malveillant proviennent de tiers ou de l’attaquant. Les faits confirmés par la Commission sont le vol de données dans l’environnement web, la maîtrise de l’incident et l’absence d’impact sur les systèmes internes.