歐盟委員會(huì)近日確認(rèn)，其云環(huán)境遭遇嚴(yán)重?cái)?shù)據(jù)泄露事件，根源是一場(chǎng)針對(duì)開源安全工具 Trivy 的供應(yīng)鏈攻擊。 歐盟計(jì)算機(jī)應(yīng)急響應(yīng)小組（CERT?EU）將此次攻擊歸咎于網(wǎng)絡(luò)犯罪組織 TeamPCP，攻擊者通過受污染的 Trivy 版本獲取了委員會(huì)在亞馬遜云服務(wù)（AWS）上的 API 密鑰，繼而從托管 Europa.eu 平臺(tái)的基礎(chǔ)設(shè)施中竊取了約 92GB 壓縮數(shù)據(jù)（約 340GB 未壓縮）。

事件起于 3 月 19 日，歐盟委員會(huì)的自動(dòng)安全流水線在正常更新流程中拉取了已被 TeamPCP 植入惡意代碼的 Trivy GitHub 倉庫版本，后者利用先前憑證輪換不徹底這一弱點(diǎn)，對(duì) trivy?action 倉庫中 77 個(gè)版本標(biāo)簽中的 76 個(gè)進(jìn)行了惡意 force?push。 一旦被拉入 CI/CD 環(huán)境，惡意代碼便會(huì)搜集 AWS 憑證并上傳，攻擊者隨即借助 TruffleHog 等工具在云環(huán)境中進(jìn)一步掃描更多密鑰和敏感信息。

歐盟委員會(huì)網(wǎng)絡(luò)安全運(yùn)營中心直到 3 月 24 日，才通過異常的 Amazon API 調(diào)用行為和網(wǎng)絡(luò)流量激增發(fā)現(xiàn)問題，并在同日啟動(dòng)事件響應(yīng)；3 月 27 日，委員會(huì)對(duì)外披露事件，次日，臭名昭著的 ShinyHunters 勒索團(tuán)伙就在暗網(wǎng)泄露站上公開了被盜數(shù)據(jù)。 CERT?EU 表示，泄露數(shù)據(jù)涉及 Europa.eu 托管服務(wù)多達(dá) 71 個(gè)客戶，包括 42 個(gè)歐委會(huì)內(nèi)部客戶及至少 29 個(gè)其他歐盟機(jī)構(gòu)，內(nèi)容涵蓋近 5.2 萬份外發(fā)郵件文件、姓名列表、用戶名和郵箱地址等信息，潛在受影響機(jī)構(gòu)包括歐洲藥品管理局、歐洲銀行管理局、歐盟網(wǎng)絡(luò)安全局（ENISA）以及歐盟邊境與海岸警衛(wèi)局 Frontex 等。

目前，歐盟方面已吊銷受影響密鑰，隔離并加固相關(guān) AWS 賬戶，并依據(jù) 2023/2841 號(hào)《網(wǎng)絡(luò)安全條例》向監(jiān)管機(jī)構(gòu)報(bào)告事件，CERT?EU 正協(xié)調(diào)各受影響實(shí)體開展溯源與加固工作。 安全專家指出，此案暴露出政府機(jī)構(gòu)在依賴開源工具進(jìn)行安全掃描與 DevSecOps 時(shí)，對(duì)供應(yīng)鏈風(fēng)險(xiǎn)評(píng)估和 CI/CD 行為監(jiān)控的嚴(yán)重不足，也再次提醒業(yè)界必須對(duì)憑證輪換、第三方倉庫完整性驗(yàn)證以及實(shí)時(shí)異常檢測(cè)投入更多資源。