De hack kwam aan het licht via het darkweb, waar de groep de aanval opeiste. Volgens de eerste informatie gaat het om grote hoeveelheden gevoelige gegevens, waaronder e-mails, databases en interne documenten.

Grote hoeveelheid interne data buitgemaakt
Volgens de eerste informatie gaat het om zogeheten data dumps. Daarbij kan het gaan om e-mails, databases, contracten en andere vertrouwelijke documenten. Ook zouden gegevens van medewerkers onderdeel zijn van het lek.

De hacker zelf heeft screenshots gedeeld als bewijs. Daarop is onder meer een e-mailserver te zien die door medewerkers van de Europese Commissie wordt gebruikt. Daarmee lijkt de toegang tot interne systemen aannemelijk.

Opvallend is dat de hackersgroep geen losgeld eist. Dat is anders dan bij eerdere aanvallen. “Het is opvallend dat ShinyHunters geen losgeld eist, zoals de groep normaliter wel doet,” zegt techredacteur Niek Kooloos bij BNR. “De hoeveelheid data die gepubliceerd is is enorm, het gaat om 350 gigabyte.”

Toegang via cloudomgeving
De aanval zou zijn verlopen via een account binnen de cloudomgeving van Amazon Web Services (AWS). Volgens bronnen kreeg de aanvaller toegang tot minstens één account dat werd gebruikt voor beheer van de infrastructuur.

Amazon zelf benadrukt dat het platform niet is gehackt. “AWS heeft geen beveiligingsincident gehad en onze diensten functioneerden zoals bedoeld,” laat een woordvoerder weten aan Bleeping Computer.

De Europese Commissie stelt dat de aanval snel is ontdekt. Interne teams hebben direct maatregelen genomen om verdere schade te beperken. Tegelijk loopt er nog een uitgebreid onderzoek naar de toedracht. 

Publicatie van data dreigt
Volgens cybersecuritysite BleepingComputer heeft de hacker aangegeven de gestolen data niet te willen gebruiken voor afpersing. In plaats daarvan zouden de bestanden later openbaar worden gemaakt.

Wanneer dat gebeurt, is nog onbekend. Dat zorgt voor onzekerheid over de mogelijke gevolgen. De inhoud van de data kan inzicht geven in interne besluitvorming en samenwerking met externe partijen.

De Europese Commissie stelt dat er geen interne systemen zijn geraakt, maar dat wordt nog onderzocht. Experts waarschuwen dat de omvang van de data niet automatisch iets zegt over de daadwerkelijke schade.

De hack komt kort na een eerdere cyberaanval binnen de Commissie. Eind januari werd een platform voor het beheer van mobiele apparaten gehackt. Dat incident werd binnen enkele uren aangepakt.