La Commission européenne piratée : 350 Go exfiltrés depuis…

La Commission européenne a confirmé, le 30 mars, qu’un attaquant avait compromis son infrastructure web publique hébergée sur Amazon AWS. Plus de 350 gigaoctets de données auraient été exfiltrés. Il s’agit du deuxième incident de sécurité survenu en l’espace de 30 jours : en février, des appareils professionnels appartenant à des hauts fonctionnaires de la Commission avaient déjà été compromis. Pour les architectes cloud opérant dans le cadre réglementaire DACH, cet événement constitue un scénario concret de référence : l’institution chargée de faire avancer le NIS2 et la loi sur la résilience cybernétique échoue à mettre en œuvre ces dispositifs elle-même.

L’essentiel

• La Commission européenne a confirmé, le 30 mars 2026, une cyberattaque visant ses sites web publics européens, hébergés sur Amazon Web Services (AWS).
• Selon des rapports, plus de 350 Go de données auraient été exfiltrés. La Commission ne communique aucune estimation quantitative et refuse de divulguer le vecteur d’attaque ni la durée de l’intrusion.
• Il s’agit du deuxième incident en 30 jours. En février, des téléphones professionnels appartenant à des hauts fonctionnaires de la Commission avaient déjà été compromis.

Ce qui s’est produit

L’attaque a été détectée le 24 mars et rendue publique le 30 mars. Les portails web publics de la Commission européenne sont concernés – aucun système interne de gestion n’a, pour autant qu’on le sache à ce jour, été touché. La Commission évoque « des données de ces sites » sans préciser les catégories de données affectées. Aucune attribution à un acteur étatique ou criminel n’a été établie.

Le vecteur d’attaque n’est pas confirmé. L’infrastructure repose sur Amazon Web Services – il est donc incertain que la faille réside dans la configuration AWS, dans une application web ou dans un élément de la chaîne d’approvisionnement. AWS n’a, à ce jour, fait aucune déclaration publique sur cet incident.

Pourquoi cela compte pour le DACH

Le NIS2 est entré en vigueur en octobre 2024 et oblige les opérateurs d’infrastructures critiques de l’UE à respecter des obligations strictes en matière de déclaration d’incidents, de gestion des risques et de procédures de réponse aux incidents. Le Règlement sur la résilience cybernétique complète ces exigences pour les produits connectés. Ces deux textes réglementaires ont été principalement portés par la Commission européenne.

Le fait que cette même institution enregistre deux incidents de sécurité en l’espace d’un mois – et refuse, dans les deux cas, la transparence qu’elle impose légalement aux autres – va bien au-delà d’un simple problème de communication. Pour les responsables informatiques et les responsables sécurité des entreprises du DACH, se pose la question suivante : si la Commission européenne elle-même échoue à appliquer ces dispositions, dans quelle mesure leurs exigences sont-elles réalistes ?

Pour les architectes cloud opérant dans un environnement réglementé – administrations publiques, opérateurs d’infrastructures critiques (KRITIS), prestataires de services financiers – cet incident constitue un argument concret dans les décisions architecturales en cours. Celui qui défend une stratégie hybride avec une séparation claire des données entre charges de travail publiques et sensibles obtient un scénario de référence. Celui qui place l’intégralité de ses systèmes sur un seul hyperscaler se voit poser une question inconfortable.

Le paradoxe de la souveraineté

L’UE a massivement investi dans la souveraineté numérique au cours des trois dernières années : le schéma européen de services cloud (EUCS), Gaia-X, le Centre européen de compétences en cybersécurité à Bucarest. Parallèlement, les institutions européennes hébergent leur propre infrastructure sur des hyperscalers américains. Les sites web de la Commission tournent sur AWS. Le Parlement européen utilise Microsoft 365.

L’argument selon lequel « AWS serait plus sécurisé qu’une infrastructure sur site » peut techniquement être fondé – AWS investit des milliards dans son infrastructure de sécurité. Mais le modèle de responsabilité partagée attribue au client la responsabilité de la configuration, de la gestion des accès et de la sécurité des applications. C’est précisément sur ce point que la Commission semble avoir échoué. Ce n’est pas AWS qui a été piraté – c’est l’environnement AWS de la Commission qui n’a pas été suffisamment sécurisé.

Analyse

Trois éléments retiennent l’attention. Premièrement, le manque de transparence : six jours entre la détection et la confirmation, aucune information sur le vecteur d’attaque ni sur les catégories de données concernées. Cela contredit l’esprit des obligations de déclaration que la Commission a elle-même inscrites dans le NIS2. Deuxièmement, le schéma répétitif : deux incidents en 30 jours suggèrent des problèmes structurels – et non une simple erreur de configuration isolée. Troisièmement, la dimension politique : cet incident accélérera le débat autour de l’EUCS sur les exigences de souveraineté applicables aux services cloud.

Pour les équipes cloud du DACH, cet incident ne modifie rien sur le plan opérationnel – l’architecture de sécurité reste de la responsabilité exclusive de chaque organisation. Sur le plan stratégique, en revanche, il fournit des arguments concrets en faveur de trois décisions : adopter des architectures hybrides avec une séparation claire des charges de travail ; réaliser régulièrement des audits de configuration indépendants du fournisseur cloud ; mettre en œuvre des procédures de réponse aux incidents effectivement testées – et non simplement documentées.

Questions fréquentes

Source de l’image : générée par IA (mai 2026), certificat C2PA intégré à l’image