Cơ quan Châu Âu xác nhận mất 300GB dữ liệu nhạy cảm qua lỗ hổng chuỗi cung ứng Trivy

Cơ quan Châu Âu (EC) đã chính thức xác nhận một vụ tấn công mạng nghiêm trọng, dẫn đến việc mất hơn 300GB dữ liệu nhạy cảm từ môi trường đám mây AWS của họ. Vụ việc, được cho là bắt đầu vào ngày 24 tháng 3, cho thấy các kẻ tấn công đã chiếm được quyền truy cập vào cơ sở hạ tầng đám mây phục vụ nền tảng Europa.eu.

Cơ quan Châu Âu

Cơ chế tấn công qua chuỗi cung ứng

Đội phản ứng khẩn cấp của EU (CERT-EU) đã điều tra vụ việc và tiết lộ rằng kẻ tấn công đã sử dụng một khóa API bị lộ từ cuộc tấn công chuỗi cung ứng vào công cụ quét lỗ hổng Trivy của Aqua Security. Cuộc tấn công này được thực hiện bởi nhóm hacker TeamPCP vào ngày 19 tháng 3.

Theo CERT-EU, "Cơ quan Châu Âu vô tình đang sử dụng phiên bản Trivy bị xâm hại trong khoảng thời gian liên quan, sau khi nhận được nó qua các kênh cập nhật phần mềm thông thường."

Khi đã có khóa API, kẻ tấn công đã tạo và gán thêm một khóa truy cập mới vào một tài khoản người dùng và tiến hành reconnaissance (thám sát). Công cụ TruffleHog, thường được dùng để quét bí mật, cũng đã được sử dụng để tìm kiếm các thông tin xác thực AWS khác.

Bảo mật

Hậu quả và phạm vi ảnh hưởng

Sự xâm nhập này cho phép kẻ tấn công đánh cắp dữ liệu từ môi trường đám mây bị ảnh hưởng. Dữ liệu bị đánh cắp liên quan đến các website được lưu trữ cho đến 71 khách hàng của dịch vụ lưu trữ web Europa, bao gồm 42 khách hàng nội bộ của Cơ quan Châu Âu và ít nhất 29 thực thể khác thuộc Liên minh Châu Âu.

Tổng dung lượng dữ liệu bị lộ là 340GB sau khi giải nén. Nội dung này bao gồm thông tin cá nhân như tên, địa chỉ email và tên người dùng, chủ yếu đến từ các website của EC. Khoảng 2,22GB dữ liệu (51.992 tệp tin) đại diện cho các thông báo tự động, bao gồm các tin nhắn trả về chứa nội dung người dùng ban đầu, có thể chứa thông tin cá nhân.

Vào ngày 28 tháng 3, nhóm lừa đảo ShinyHunters đã thêm dữ liệu bị đánh cắp vào trang web rò rỉ của họ dựa trên Tor.

Môi trường đám mây

Các bước xử lý

Ngay sau khi phát hiện sự cố, EC đã thu hồi các quyền của tài khoản bị xâm phạm, vô hiệu hóa và xoay vòng các thông tin xác thực bị lộ, đồng thời thông báo cho các cơ quan bảo vệ dữ liệu liên quan.

Cơ quan cũng xác nhận rằng sự cố này không ảnh hưởng đến các hệ thống nội bộ của họ. Việc phân tích các cơ sở dữ liệu liên quan đến các website được lưu trữ đang trong tiến trình và cần một lượng thời gian đáng kể do tính chất phức tạp và quy mô lớn của dữ liệu.

---

Thông tin bài viết được trích xuất từ SecurityWeek.