欧州委員会（EC）のAWS環境へ不正アクセス、原因は「Trivy」へのサプライチェーン攻撃|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年04月06日更新日時: 2026年04月06日

2026年4月、EU（欧州連合）のコンピュータ緊急対応チームであるCERT-EUは、欧州委員会（EC）のクラウド基盤において大規模なデータ侵害が発生したことを公式ブログにて公表しました。

このインシデントの侵入経路は、AWS（Amazon Web Services）自体への直接攻撃ではなく、CI/CDパイプラインで利用されていた脆弱性スキャナ「Trivy」を標的としたサプライチェーン攻撃でした。さらに、盗み出されたデータは悪名高いサイバー恐喝グループ「ShinyHunters」によってダークウェブ上で公開される事態へと発展しています。

【30秒でわかる本記事の概要】

事象: 欧州委員会のAWSアカウントが侵害され、約91.7GB（非圧縮時340GB〜350GB）の機密データが窃取された。
原因: 脅威アクター「TeamPCP」による「Trivy」のサプライチェーン攻撃。ECは改ざんされたTrivyを意図せず実行し、AWS APIキーを抜き取られた。
恐喝の発生: 3月28日、恐喝グループ「ShinyHunters」が犯行声明を出し、ダークウェブのリークサイトにデータを公開した。
被害: 氏名、メール内容、SSOユーザーディレクトリ、DKIMキーなどが流出し、他のEU機関（少なくとも29組織）へ波及する恐れがある。

最新事例を解説する無料セキュリティセミナーに申し込む

1 概要
2 原因
3 漏えいした情報
4 ShinyHuntersの公開が意味すること
- 4.1 TeamPCPとShinyHuntersの関係性は？

概要

CERT-EUは2026年4月2日、欧州委員会の公開ウェブサイト基盤 europa.eu を支えるAWSクラウド環境で発生した侵害について詳細を公表しました。公表内容によると、3月24日に欧州委員会のCSOCがAmazon APIの不正利用の可能性や異常な通信量を検知し、3月25日にCERT-EUへ報告されました。CERT-EUは、この侵害の初期アクセスがTrivyのサプライチェーン侵害によって得られたものだと高い確度で評価しています。

今回の事案で重要なのは、いわゆる自組織の脆弱性が直接突かれたというより、CI/CDやクラウド運用で信頼していた外部ツールの侵害が、結果として欧州委員会のAWS認証情報流出につながった点です。しかも影響は単一サイトにとどまらず、europa.euのホスティング基盤上で運用される複数のウェブサイトと、その背後にある複数のEU機関へ波及し得る状態でした。

原因

CERT-EUと欧州委員会は、初期侵害の原因をTrivyのサプライチェーン侵害だと高い確度で評価しています。その根拠として、Trivy侵害の発生時期と欧州委員会環境での初期侵害時期が一致していること、狙われた対象がAWS認証情報やクラウド基盤だったこと、そして欧州委員会側が問題の期間に通常の更新経路を通じて侵害済みTrivyを利用していたことを挙げています。

漏えいした情報

CERT-EUは、侵害されたAWSアカウントから約91.7GBの圧縮データが持ち出されたと説明しています。

展開後のサイズは約340GBで、氏名、姓、ユーザー名、メールアドレスなどの個人データに加え、少なくとも51,992件の送信メール関連ファイルも含まれていました。大半は自動通知ですが、ユーザーからの問い合わせに対するバウンス通知には元の投稿内容が含まれる場合があり、個人情報露出のリスクがあるとされています。

影響対象は、europa.euホスティングサービスで運用される最大71クライアントに及びます。内訳は欧州委員会内部の42クライアントと、少なくとも29の他のEU機関です。一方で、CERT-EUはウェブサイト自体の改ざんや停止は確認されておらず、欧州委員会の3月27日公表として内部システムへの影響は確認されていないとも説明しています。

ShinyHuntersの公開が意味すること

CERT-EUによると、3月28日にはデータ恐喝グループShinyHuntersが盗まれたデータをダークウェブ上のリークサイトで公開しました。ただし、CERT-EUの文章は、初期侵害の評価としてはTrivy侵害を通じたアクセス取得を示している一方、ShinyHuntersについては盗難データを公開した主体として記述しています。

TeamPCPとShinyHuntersの関係性は？

ここで注目すべきは、「初期アクセスを行ったグループ（TeamPCP）」と「データを公開し恐喝を行ったグループ（ShinyHunters）」が異なる点です。セキュリティ研究者やCERT-EUの分析によると、両者の明確な協力関係や連携の仕組みは現時点では不明とされています。

しかし、これは現代のサイバー犯罪エコシステムにおける「分業化」の恐ろしさを示しています。高度な技術を持つTeamPCPがサプライチェーン攻撃で「アクセス権」や「データ」を入手し、それをダークウェブのアンダーグラウンド市場で販売または譲渡し、ShinyHuntersのような恐喝専門グループがマネタイズ（資金化）を図った可能性が極めて高いと考えられています。