Commission européenne : 92 Go volés via une attaque supply chain sur Trivy

Synthèse de l'incident

Le 19 mars 2026, le groupe TeamPCP a réussi à empoisonner l'outil open-source Trivy, un scanner de vulnérabilités conteneur largement utilisé dans les pipelines CI/CD. La Commission européenne, qui intègre Trivy dans son infrastructure cloud, a téléchargé la version compromise. L'attaquant a alors exfiltré une clé API AWS, ouvrant un accès direct aux buckets S3 de l'institution.

Au total, 92 Go de données compressées (environ 340 Go décompressés) ont été exfiltrés, comprenant 52 000 emails internes, des noms et adresses email de fonctionnaires européens. Le 28 mars, le groupe ShinyHunters a publié les données sur son site de leak.

L'attaque supply chain est le vecteur le plus insidieux : la victime télécharge elle-même le code malveillant, en toute confiance, via ses propres pipelines automatisés.

Chronologie de l'attaque

Phase 1 : Empoisonnement de Trivy

TeamPCP a compromis le pipeline de build de Trivy, un outil open-source développé par Aqua Security et téléchargé des millions de fois par mois. La version malveillante contenait un backdoor qui, lors de l'exécution d'un scan, exfiltrait les variables d'environnement du système hôte — incluant les clés API cloud.

• 19 mars : publication de la version compromise de Trivy
• 20-22 mars : la Commission européenne déploie la mise à jour dans son pipeline CI/CD
• 22-25 mars : exfiltration des 92 Go via la clé API AWS volée
• 28 mars : ShinyHunters publie les données sur son site de leak

Phase 2 : Exfiltration massive

Grâce à la clé API AWS récupérée, l'attaquant a accédé à plusieurs buckets S3 contenant des données sensibles. L'exfiltration a duré environ trois jours sans déclencher d'alerte, les transferts étant fragmentés en petits volumes pour éviter la détection.

Données compromises

L'analyse des données publiées par ShinyHunters révèle un volume considérable :

• 52 000 emails internes de la Commission européenne
• Noms complets et adresses email de fonctionnaires européens
• Documents de travail internes — notes, comptes-rendus, ébauches de règlements
• Données techniques : configurations d'infrastructure, diagrammes réseau

Le CERT-EU a officiellement attribué l'attaque à TeamPCP et a identifié 29 entités de l'Union européenne potentiellement affectées par la compromission de Trivy.

L'attaque supply chain : un vecteur en pleine expansion

Pourquoi Trivy ?

Trivy est utilisé par des milliers d'organisations pour scanner les images conteneur à la recherche de vulnérabilités. Il s'exécute généralement avec des privilèges élevés dans les pipelines CI/CD, ce qui en fait une cible idéale : un seul outil compromis permet d'atteindre simultanément des centaines d'organisations.

Le problème de la confiance transitive

Les organisations font confiance à leurs dépendances open-source. Mais cette confiance est transitive : quand vous faites confiance à Trivy, vous faites également confiance à son pipeline CI/CD, à ses mainteneurs, à ses dépendances, et à l'infrastructure qui héberge ses artefacts. Chaque maillon de cette chaîne est un point d'attaque potentiel.

Quand un outil de sécurité devient le vecteur d'attaque, toutes les hypothèses de confiance s'effondrent. Qui audite l'auditeur ?

Impact et conséquences

Impact institutionnel

La compromission de 52 000 emails internes de la Commission européenne représente un risque géopolitique majeur. Les documents de travail internes — ébauches de règlements, positions de négociation, échanges entre commissaires — pourraient être exploités par des acteurs étatiques pour anticiper les décisions européennes.

Impact sur l'écosystème open-source

L'incident remet en question la sécurité des outils open-source utilisés dans les infrastructures critiques. Si un outil aussi répandu que Trivy peut être compromis, la question se pose pour l'ensemble de la chaîne d'outils DevOps.

Recommandations

Sécuriser la supply chain logicielle

• Vérifier les signatures des artefacts : ne jamais déployer un binaire ou une image sans vérification cryptographique de son intégrité (Sigstore, Cosign)
• Épingler les versions : utiliser des lock files et des hash de vérification pour chaque dépendance, éviter les mises à jour automatiques non contrôlées
• Isoler les pipelines CI/CD : les outils de scan ne doivent pas avoir accès aux clés API de production. Utiliser des rôles IAM à privilèges minimaux
• Générer des SBOM : maintenir un inventaire complet des dépendances logicielles (Software Bill of Materials) pour réagir rapidement en cas de compromission d'un composant
• Surveiller les comportements anormaux : un outil de scan qui établit des connexions sortantes inhabituelles ou accède à des variables d'environnement sensibles doit déclencher une alerte

Sécuriser les accès cloud

• Rotation des clés API : les clés AWS ne doivent jamais être stockées en clair dans les variables d'environnement CI/CD. Utiliser des solutions de gestion de secrets (Vault, AWS Secrets Manager)
• Alertes sur les accès anormaux : configurer CloudTrail et GuardDuty pour détecter les accès S3 depuis des IP ou régions inhabituelles
• Principe du moindre privilège : chaque pipeline ne doit avoir accès qu'aux ressources strictement nécessaires

Enseignements clés

L'attaque contre la Commission européenne via Trivy marque un tournant dans les attaques supply chain. Ce n'est plus un risque théorique : un outil de sécurité open-source a été transformé en vecteur d'attaque contre l'une des institutions les plus importantes d'Europe.

L'incident démontre que la sécurité de la supply chain logicielle n'est pas un problème technique marginal — c'est un enjeu stratégique qui nécessite des investissements à la hauteur de la menace. Les 29 entités EU potentiellement affectées illustrent l'effet de souffle d'une seule dépendance compromise.

La supply chain logicielle est le nouveau périmètre. Chaque dépendance non vérifiée est une porte d'entrée potentielle — et les attaquants l'ont bien compris.

Sources

• CERT-EU — Alerte supply chain Trivy (mars 2026)
• Aqua Security — Incident Report Trivy Compromise
• Commission européenne — Communiqué de presse sur l'incident de sécurité
• ShinyHunters Leak Site — Analyse des données publiées