Hackeo a la Comisión Europea: un atacante amenaza con publicar 350 GB de datos robados de su infraestructura AWS
La Comisión Europea confirma un acceso no autorizado a su infraestructura en Amazon Web Services el 24 de marzo de 2026. El presunto atacante afirma haber extraído más de 350 GB de datos e indica su intención de publicarlos, sin pedir rescate. Es el segundo incidente de seguridad grave en la institución en menos de dos meses.
La Comisión Europea enfrenta su segundo incidente de ciberseguridad grave en menos de dos meses. Un acceso no autorizado a su infraestructura en la nube de Amazon, detectado el 24 de marzo de 2026, ha resultado en la presunta sustracción de cientos de gigabytes de datos sensibles según el propio atacante, quien ha contactado directamente con medios especializados para atribuirse la autoría.
El incidente, confirmado por la institución y reportado por BleepingComputer, presenta una característica que lo distingue del patrón habitual del cibercrimen: no hay demanda de rescate económico. El atacante ha anunciado su intención de publicar los datos, lo que convierte este incidente en una amenaza de exposición masiva sin ventana de negociación.
Qué ocurrió el 24 de marzo
El vector de entrada confirmado es una cuenta de Amazon Web Services vinculada a la Comisión Europea. El acceso fue detectado y activó la intervención del equipo de respuesta a incidentes de ciberseguridad de la institución, aunque los detalles sobre cómo se produjo la intrusión inicial no han sido divulgados públicamente.
Amazon Web Services ha declarado que no registró anomalías en su plataforma durante el incidente y que sus servicios funcionaron con normalidad. Esta posición no necesariamente contradice la versión de la Comisión: un acceso mediante credenciales legítimas comprometidas puede no generar alertas en el proveedor de nube, ya que técnicamente el acceso parece autorizado desde la perspectiva de la plataforma.
El problema de las credenciales comprometidas en la nube: Cuando un atacante obtiene credenciales válidas de acceso a un entorno cloud, la plataforma proveedora no puede distinguirlo de un acceso legítimo. Es la institución titular de la cuenta quien debe detectar el comportamiento anómalo. Que Amazon no registrara anomalías no descarta la intrusión: refuerza la hipótesis de que el ataque se realizó con credenciales robadas, no mediante vulnerabilidades en la infraestructura de AWS.
Los 350 GB robados y la amenaza de publicación
El presunto atacante ha detallado el alcance de lo sustraído en su comunicación con los medios. El volumen declarado es de más de 350 GB de información, distribuida en dos categorías principales.
El elemento más preocupante del incidente es la ausencia de demanda económica. En la mayoría de los ciberataques de este perfil, el rescate o la venta de datos en mercados ilícitos es el objetivo final. Aquí, el atacante ha declarado su intención de publicar los datos libremente, lo que elimina la posibilidad de contener la filtración mediante negociación y maximiza el daño potencial para los afectados.
Un patrón preocupante: segundo ataque en 2026
Este incidente no ocurre en el vacío. La Comisión Europea ya confirmó otra brecha de seguridad en febrero de 2026, apenas cinco semanas antes, que en aquel caso afectó a la plataforma de gestión de dispositivos móviles de sus empleados.
El momento geopolítico: Que este ataque se produzca días después de que la UE anunciara sanciones contra actores tecnológicos vinculados a ciberoperaciones contra Estados miembros no es necesariamente una coincidencia que los investigadores pasarán por alto. El timing sitúa el incidente en un contexto de tensión digital activa entre Europa y actores estatales o paraestatales.
Lo que la investigación aún no ha respondido
A pesar de la gravedad del incidente y de que ya ha transcurrido tiempo desde su detección, la Comisión Europea mantiene un nivel de opacidad significativo sobre aspectos fundamentales del caso.
- Cuántas cuentas de AWS se vieron comprometidas más allá de la confirmada.
- Si la información de ciudadanos europeos forma parte del material presuntamente exfiltrado.
- Cuánto tiempo estuvo el atacante con acceso activo a los sistemas antes de ser detectado.
- El vector de entrada inicial: cómo se obtuvieron las credenciales de acceso al entorno cloud.
- Si el incidente está vinculado a la brecha de febrero o responde a un actor y método distintos.
La falta de respuestas a estas preguntas no solo dificulta la evaluación del daño real: también impide que posibles afectados, ya sean empleados o ciudadanos cuyos datos pudieran estar involucrados, tomen medidas de protección informadas.
Conclusión: El hackeo a la Comisión Europea es un incidente de primer orden tanto por la relevancia de la institución afectada como por la naturaleza de la amenaza: un atacante que no pide rescate sino que anuncia publicación libre de 350 GB de datos institucionales elimina cualquier mecanismo de contención mediante negociación. Que sea el segundo ataque confirmado en menos de dos meses sugiere una presión sostenida sobre las infraestructuras digitales de la UE, en un momento geopolíticamente tenso. La investigación sigue abierta, pero cada día sin comunicación clara a los potenciales afectados es una ventana de riesgo que permanece innecesariamente abierta.
