La Comisión Europea hackeada: 350 GB de infraestructura en AWS filtrados – qué significa el segundo incidente de seguridad en 30 días

4 min de lectura

La Comisión Europea confirmó el 30 de marzo que atacantes habían comprometido su infraestructura web pública alojada en Amazon AWS. Se estima que más de 350 gigabytes de datos fueron exfiltrados. Es el segundo incidente de seguridad en 30 días: en febrero ya se habían comprometido dispositivos móviles de trabajo de altos cargos de la Comisión. Para los arquitectos de nube en el entorno regulado de DACH, este suceso ofrece un escenario de referencia concreto: la institución que impulsa la directiva NIS2 y la Ley de Resiliencia Cibernética fracasa en su propia implementación.

En resumen

• La Comisión Europea confirmó el 30 de marzo de 2026 un ciberataque contra sus sitios web públicos de Europa, alojados en Amazon Web Services (AWS).
• Según informes, se exfiltraron más de 350 GB de datos. La Comisión no especifica cantidades y se niega a facilitar información sobre el vector de ataque ni sobre la duración del incidente.
• Es el segundo breach en 30 días. En febrero ya se habían comprometido teléfonos móviles de trabajo de altos cargos de la Comisión.

Qué ocurrió

El ataque fue detectado el 24 de marzo y confirmado públicamente el 30 de marzo. Afecta a los portales web públicos de la Comisión Europea – no a sistemas administrativos internos, según lo conocido hasta ahora. La Comisión se refiere a «datos de estos sitios web» sin especificar qué categorías de datos resultaron afectadas. No existe una atribución confirmada a un actor estatal o criminal.

El vector de ataque no está confirmado. La infraestructura se ejecuta en Amazon Web Services: no se sabe si la vulnerabilidad residía en la configuración de AWS, en una aplicación web o en un elemento de la cadena de suministro. Hasta la fecha, AWS no se ha pronunciado públicamente sobre el incidente.

Por qué es relevante para DACH

La directiva NIS2 entró en vigor en octubre de 2024 y obliga a los operadores de infraestructuras críticas en la UE a cumplir estrictas obligaciones de notificación, gestión de riesgos y procesos de respuesta a incidentes. La Ley de Resiliencia Cibernética complementa estas exigencias para productos conectados. Ambas normativas fueron impulsadas fundamentalmente por la Comisión Europea.

Que dicha institución registre ahora dos incidentes de seguridad en el plazo de un mes – y que en ambos casos rehúse la transparencia que impone legalmente a otros – va mucho más allá de un mero problema de comunicación. Para los responsables de TI y los responsables de seguridad en empresas de DACH surge la siguiente pregunta: si la propia Comisión Europea fracasa en su implementación, ¿qué tan realistas son las exigencias que impone a los demás?

Para los arquitectos de nube en entornos regulados – administraciones públicas, operadores de infraestructuras críticas (KRITIS), servicios financieros – este incidente constituye un argumento concreto en decisiones arquitectónicas en curso. Quienes defienden estrategias de nube híbrida con una clara separación de datos entre cargas de trabajo públicas y sensibles obtienen un escenario de referencia válido. Quienes apuestan por concentrarlo todo en un único proveedor hyperscaler reciben una pregunta incómoda.

La paradoja de la soberanía

En los últimos tres años, la UE ha invertido masivamente en soberanía digital: el Esquema Europeo de Servicios en la Nube (EUCS), Gaia-X, el Centro Europeo de Competencias en Ciberseguridad en Bucarest. Al mismo tiempo, las instituciones europeas alojan su propia infraestructura en hyperscalers estadounidenses. Los sitios web de la Comisión funcionan en AWS. El Parlamento Europeo utiliza Microsoft 365.

«La UE predica soberanía en la gestión de datos – y aloja sus propios portales en AWS. Esto no es una contradicción que se pueda pasar por alto. Es un problema de credibilidad que se agrava con cada breach.»– Valoración editorial de cloudmagazin

El argumento de que «AWS es más seguro que las instalaciones on-premise» puede ser técnicamente válido – AWS invierte miles de millones en infraestructura de seguridad – . Pero el modelo de responsabilidad compartida asigna al cliente la responsabilidad de la configuración, la gestión de accesos y la seguridad de las aplicaciones. Y precisamente ahí parece haber fallado la Comisión. No fue AWS quien fue hackeado, sino que la Comisión no protegió suficientemente su entorno en AWS.

Evaluación

Tres aspectos resultan especialmente notables. Primero, la falta de transparencia: seis días entre la detección y la confirmación, sin indicación alguna sobre el vector de ataque ni sobre las categorías de datos afectadas. Esto contradice el espíritu de las obligaciones de notificación que la propia Comisión incorporó en la NIS2. Segundo, el patrón: dos incidentes en 30 días apuntan a problemas estructurales – no a un simple error de configuración aislado. Tercero, la dimensión política: el incidente acelerará el debate sobre los requisitos de soberanía en los servicios en la nube dentro del marco del EUCS.

Para los equipos de nube en DACH, el incidente no cambia nada operativamente – la arquitectura de seguridad propia sigue siendo responsabilidad exclusiva de cada organización – . Sin embargo, estratégicamente ofrece argumentos sólidos para tres decisiones clave: adoptar arquitecturas híbridas con una separación clara de cargas de trabajo; realizar auditorías periódicas de configuración independientes del proveedor de nube; y diseñar procesos de respuesta a incidentes que se sometan efectivamente a pruebas – no solo a documentación.

Preguntas frecuentes

¿Fue hackeado AWS en sí?

Según el estado actual de los conocimientos, no. El ataque afectó a las aplicaciones web y a las configuraciones de la Comisión Europea sobre la infraestructura de AWS. En el modelo de responsabilidad compartida, el cliente es responsable de la seguridad de sus aplicaciones y configuraciones. AWS no se ha pronunciado públicamente hasta la fecha.

¿Qué datos están afectados?

La Comisión no ha especificado categorías de datos. Se ven afectados los portales web públicos de Europa. Al tratarse principalmente de páginas informativas, es probable que los datos personales afectados sean limitados (formularios de contacto, inscripciones a boletines informativos). Según la Comisión, los sistemas administrativos internos no resultaron afectados.

¿Qué implica esto para mi arquitectura en la nube?

El incidente no altera la seguridad de AWS como plataforma. Pero sí demuestra que incluso organizaciones grandes cometen errores fundamentales de configuración. Medidas concretas recomendadas: auditoría de configuración de su entorno en AWS/Azure/GCP, revisión de los procesos de respuesta a incidentes y garantía de que los límites de responsabilidad compartida sean comprendidos por todo el equipo.

Fuente de imagen: imagen generada por IA (FLUX.2) – sin representación de producto