欧州委員会のAWSアカウントが不正アクセス被害、攻撃者がデータ流出を予告

EUの主要執行機関である**欧州委員会（European Commission）**が、同委員会のAmazon Web Services（AWS）クラウド環境に対する不正アクセスの調査を進めていることが明らかになった。セキュリティメディア「BleepingComputer」が2026年3月27日に報じた。

攻撃の概要

欧州委員会はまだ公式にはインシデントを開示していないが、事情に詳しい複数の情報筋によると、攻撃は迅速に検知され、委員会のサイバーセキュリティ・インシデント対応チームが調査にあたっているという。

攻撃を実行したとする脅威アクターは今週、BleepingComputerに対し、350GB超のデータ（複数のデータベースを含む）を窃取したと主張。委員会職員の情報や職員用メールサーバーへのアクセスを証明するスクリーンショットも提示したとされる。

なお、AWSはこの件について「AWSではセキュリティイベントは発生しておらず、サービスは設計どおりに動作しています」と声明を発表しており、クラウド基盤側の問題ではなく、アカウント側の設定や認証情報が狙われた可能性が高いとみられる。

脅威アクターは「窃取データを使って委員会を恐喝するつもりはないが、後日オンラインでデータを公開する予定だ」と述べており、身代金目的ではなくデータ公開（リーク）を予告している点が特徴的だ。

相次ぐEU機関へのサイバー攻撃

今回の事案は、欧州機関を標的としたサイバー攻撃が続く中で発生した。

  • 2026年1月30日: 欧州委員会が職員端末を管理するモバイルデバイス管理（MDM）プラットフォームへの侵害を検知。同インシデントは、Ivanti Endpoint Manager Mobile（EPMM）のコードインジェクション脆弱性を悪用したものとみられ、オランダのデータ保護機関やフィンランド財務省傘下の政府機関「Valtori」への攻撃とも関連している。
  • 2026年1月20日: 欧州委員会が国家支援アクターやサイバー犯罪グループから重要インフラを守るための新たなサイバーセキュリティ立法を提案。
  • 先週: EU理事会（Council of the EU）が、EU加盟国の重要インフラへのサイバー攻撃に関与したとして、中国・イランの企業3社に制裁を科した。

日本への示唆

クラウドサービスの利用が政府機関でも広がる中、今回のようなアカウント侵害型の攻撃は日本でも現実的なリスクだ。AWSなどのクラウドプラットフォーム自体には問題がなくても、利用側のアカウント管理の不備（認証情報の漏洩、過剰な権限付与など）が侵害の糸口になりうる。

多要素認証（MFA）の徹底、最小権限の原則（Least Privilege）の適用、クラウド操作ログの常時監視といった対策が改めて重要となっている。

調査は現在も進行中であり、欧州委員会から正式な発表はなされていない。

元記事: European Commission investigating breach after Amazon cloud account hack