Europese Commissie meldt cyberaanval, hacker zegt 350GB data te hebben gestolen

De Europese Commissie is op 24 maart slachtoffer geworden van een cyberaanval, meldt de organisatie. Een hacker heeft daarbij toegang gekregen tot de AWS-cloudinfrastructuur waarop het Europa.eu-platform is ondergebracht. De EC acht het waarschijnlijk dat er data is gestolen.

De Europese Commissie heeft meteen maatregelen genomen om de aanval in te dammen toen deze werd ontdekt, meldt de organisatie. De EC onderzoekt nu wat precies de gevolgen zijn van de aanval. De interne systemen van de Commissie zijn niet getroffen door de cyberaanval. De Commissie zegt het incident te analyseren en de resultaten van het onderzoek te gebruiken om de digitale beveiliging te verbeteren.

Cybersecuritywebsite BleepingComputer meldt contact te hebben gehad met de vermeende dader. Hij zegt 350GB aan data te hebben bemachtigd uit meerdere databases. De hacker heeft geen details gedeeld over hoe hij de systemen van de EC is binnengedrongen, maar heeft wel schermafbeeldingen gedeeld van onder meer een e-mailserver die wordt gebruikt door medewerkers van de Commissie.

De hacker zegt dat hij niet van plan is om de Europese Commissie af te persen met de gegevens. In plaats daarvan wil hij de gegevens 'op een later tijdstip' publiceren. Wanneer dat precies zal gebeuren, is niet bekend.

Een woordvoerder van Amazon Web Services zegt tegen BleepingComputer dat het lek niet is veroorzaakt door een hack bij het bedrijf: "AWS heeft geen beveiligingsincident ondervonden en onze services functioneerden zoals bedoeld." Het is de tweede cyberaanval in korte tijd bij de Europese Commissie. In februari werd de mobiele infrastructuur van de organisatie getroffen. Dat kwam waarschijnlijk door een lek in Ivanti Endpoint Manager Mobile, dat ook de Nederlandse Rechtspraak, de Autoriteit Persoonsgegevens en de Dienst Justitiële Inrichtingen trof.

Europa/Europese Unie. Bron: TGI/Tetra Images/Getty Images
Bron: TGI/Tetra Images/Getty Images

Door Imre Himmelbauer

Redacteur

28-03-2026 • 08:14

59

Submitter: 86ul

Reacties (59)

Sorteer op:

Weergave:

Bij onze vijandige staten kan transparantie een doodsteek zijn, maar bij ons maakt het de EU juist meer verbonden, en sterker. We willen al transparantie dat is een kernwaarde en ja soms helpen buitenlandse hackers ons daarbij. Maar daarna zijn de burgers blij dat er geen complotten zijn en dat we gewoon een transparantie EU overheid hebben. Epic backfire dus :)
Geen enkele organisatie is geholpen met volledige transparantie. Ook de EU kan niet zo transparant zijn als we misschien zouden willen. Als je onderhandelt sta je zwak als de gesprekspartner precies weet wat je minimaal uit de onderhandelingen wilt slepen en wat je maximaal weg kunt geven. Dat geldt voor jou als je een auto of een huis koopt en voor overheden net zo goed als ze een handelsverdrag willen afsluiten of een aanbesteding doen om infrastructuur aan te leggen.

En natuurlijk is een overheid ook gewoon een grote werkgever waarvan het personeel verwacht dat er zorgvuldig met hun persoonlijke informatie en dossier wordt omgesprongen.
Als Ursula enkele sms’jes wist dan is dat echt niet om het volk te onderdrukken, maar eerder het volk te beschermen. Maar als die ooit naar boven komen dan verwacht ik wel dat de meeste burgers begrijpen dat het voor hun eigen bestwil was.
Als Ursula enkele sms’jes wist dan is dat echt niet om het volk te onderdrukken, maar eerder het volk te beschermen. Maar als die ooit naar boven komen dan verwacht ik wel dat de meeste burgers begrijpen dat het voor hun eigen bestwil was.
Een transparante overheid is een groot goed. Niet zozeer omdat het belangrijk is dat jij of ik de sms'jes van bestuurders kunnen lezen. Maar zodat controlerende organen zoals (bijvoorbeeld) toezichthouders het goed functioneren van de overheid kunnen bewaken. Zeker wanneer er politieke bewegingen gaande zijn met een duidelijke anti-democratische insteek. Denk dat we allemaal zonder te veel moeite voorbeelden kunnen bedenken waarin er vreselijke dingen gedaan zijn onder het mom van "het eigen bestwil [van het volk]"
Ga je nu echt Ursula von der Leyen, een dame met een sloot aan schandalen achter zich, het voordeel van de twijfel geven in al die keren dat ze tegen alle regels in dealtjes gemaakt heeft via privékanalen en daarna de berichten gewist heeft? Dat doet ze allemaal vanuit de goedheid van haar hart om jou te beschermen, en niet omdat het bewijs zou zijn tegen haar?

Man man man
Het zijn alleen schandalen als je op zoek bent naar iets om over te roepen. Ik vind het allemaal wel meevallen. Ze is niet bepaald een zelf verrijkende, Trump of zo.

Ze heeft ook geen macht op zichzelf. Niet zoals een Amerikaanse president dat heeft. Uiteindelijk staat alles op papier en is voor elke euro getekend en gestemd door de volksvertegenwoordiging. Als die niet goed controleert of vragen stelt is dat hun fout en die kan je corrigeren bij de volgende verkiezingen.

Mensen beseffen gewoon niet hoe goed ze het hebben in de eu. Onze privacy regels zijn de beste op de planeet, onze consumenten bescherming is enorm hoog. Voedsel veiligheid is enorm. En voor een paar niets betekende smsjes zijn mensen bereid dat allemaal weg te gooien. Dwaasheid in mijn opinie.
Wat ontzettend kort door de bocht. Ook voor ursula geld de wet. De rechter heeft opgelegd dat ze haar SMS verkeer vrij moet geven. Ze weigert dat stelselmatig en negeert dus de rechterlijke macht. Dat is echt onacceptabel, zeker aangezien ze altijd zo de mond vol heeft over transparantie en democratie.
Naïef, meer kan ik hier niet van maken.
Niemand is boven de wet en zeker niet de corrupte Europese Commissie leden. Er zijn gerechtelijke procedure doorlopen om documenten te krijgen van mevrouw Ursula maar ze weigert. Af gelopen jaren zijn er zo veel schandalen rondom de Europese Commissie. Vergeet niet deze mensen zijn niet gekozen door het volk maar geinstalleerd door ambtenaren!
Nuja, sterker weet ik nog niet, want dan hangt ervanaf waar de hacker vandaan komt. We hebben binnen Europa ook genoeg hackers, hoor. Zelfs in Nederland — zie bijvoorbeeld de hackzaak bij die ene Twentse gemeente van een paar jaar geleden. Het kan dus ook zomaar een Europese hacker zijn die een ingang zag en geld wilde.

[Reactie gewijzigd door TheVivaldi op 28 maart 2026 12:01]

Deze wil geen geld van de eu. Dat is niet hetzelfde als het niet verkopen aan iemand anders.
Volledige transparantie die los wordt gelaten op het volk zonder context is vaak niet zo positief naargelang het onderwerp...

Wij hebben in ons bedrijf een heel vlakke structuur en werken zeer transparant en hebben met iedereen voornamelijk gezamenlijke beslissingsvorming. Maar toch zijn er dingen die je niet botweg doorgeeft. Daar wordt dan eerst eens over gesproken, of moet niet gedeeld worden alvorens het effectief hard wordt gemaakt. Als je alles dat bij het bestuur terecht komt, waarvan 80% uiteindelijk ruis is, zo maar gaat delen dan zou iedereen van het bedrijf elke dag moeten dealen met ruis die uiteindelijk ook enkel dat is. Geloof mij, de meeste mensen zijn daar absoluut niet mee gediend.
Trek je dit open naar de EU, dan heb je nog de kans dat het verhaal helemaal verdraaid gaat worden door onruststokers eens het buiten komt.

Naargelang de inhoud van die data gaat dit ons meestal niet dichter bijeen brengen maar mogelijk weer veel ruis en politieke inspanning kosten ipv met nuttige dingen bezig te zijn...
Er zal ongetwijfeld ook data van burgers bijzitten. Denk aan mensen die ooit hebben gesolliciteerd voor een traineeship bij de EC, mensen die meededen aan het concours, etc. Dit is dus wel erg kort door de bocht.
Prachtig zoetsappig verhaal. Ze zijn nu bezig Chat Control 2.0 door te voeren nadat het weer niet was gelukt, dus de lobbyisten gaan gewoon door, en de EU wil je privéberichten kunnen lezen.

Heerlijk transparant.
Ze zijn nu bezig Chat Control 2.0 door te voeren nadat het weer niet was gelukt, dus de lobbyisten gaan gewoon door, en de EU wil je privéberichten kunnen lezen.
Bron? Wie zijn "ze" en "de EU" in deze context?

[Reactie gewijzigd door The Zep Man op 28 maart 2026 08:52]

Dit dus, ik denk dat de manier waarop de Europese Unie beslissingen kan nemen de afgelopen jaren meermaals heeft aangetoont dat wij, de burgers, wel een invloed kunnen hebben. Zeker het Europees parlement heeft de laatste jaren al meermaals ideeen van de Europese Commissie tegen gehouden. We mogen dan soms wel eens teleurgesteld zijn in de traagheid waarmee beslissingen genomen worden, maar die traagheid vergroot de transparantie van hoe een beslissing tot stand komt terwijl het ook ruimte laat om onze stem, als burger, te laten horen, om ons te organiseren.

Dit in tegenstelling tot meer lokale of zelfs nationale politiek waar een voorstel soms op enkele dagen er door kan worden geduwd.
Traagheid is vaak helemaal niet verkeerd. Ik zo'n clusterfuck als de toeslagenaffaire nog niet kunnen vinden bij EU-richtlijnen. Die zitten echt beter in elkaar dan Nederlandse wetten. Zelfs zo goed dat de Nederlandse regering altijd probeert om het af te zwakken. Denk aan bijvoorbeeld de wetten voor consumentenbescherming. In de EU-richtlijn gaan garantierechten veel verder dan het Nederlandse gedrocht dat er van is gemaakt.
Jij zegt hier dus dat privacy geen enkel nut heeft, dat we geen recht hebben tot eigen privacy en dat dit allemaal maar nergens op slaat. Je geliefde EU is het op papier overigens wel met je oneens: The EU right to privacy is a fundamental human right strongly protected by the General Data Protection Regulation (GDPR), effective since May 2018, which gives individuals control over their personal data.
Wat een dooddoener. En ook onwaar en naïef.

Jij geeft aan niet bang te zijn voor transparantie. Mag ik dan je pincode en kopie van je paspoort? Of toegang tot je server met foto’s van je gezin? Ik zal er niets mee doen, dus je hebt niets te vrezen!
Er is een verschil tussen transparantie en vrijheid van meningsuiting. Politiek moet het mogelijk zijn om gesprekken met partners in vertrouwen te voeren, anders kan je nooit tot resultaten komen. Niemand gaat in een onderhandeling al zijn kaarten open op tafel leggen, want dan sta jij net zwakker.

Wel moet er in heel het wetgevend process dat ergens uit voort komt transparantie zijn over hoe wetgeving tot stand komt, over hoe beslissingen zijn genomen en zijn goedgekeurd. Maar dat wil niet zeggen dat letterlijk alles maar open en bloot moet gebeuren.

Vrijheid van meningsuiting is trouwens niet Europees, maar nationaal geregeld. In de basis is het een recht dat iedereen heeft, maar het is ook weer iets anders dan transparantie. Want het is een vrijheid die zegt dat jij het recht hebt om je mening te mogen geven zonder dat je schrik moet hebben van vervolging. Maar dat wil niet zeggen dat jij transparant moet zijn over hoe je tot die mening bent gekomen.
De problemen met demonstreren tegen genocide is landelijk beleid, geen EU beleid. Kijk maar hoe landen als Ierland er mee om gaan. Die moedigen het bijna aan.
Toch denk ik niet dat jij echt Sherlock Holmes heet. Waarom post je niet onder je echte naam?
Valt het niemand op wanneer er 350GB wordt weggesluisd? Geen detectiesysteem dat alarm slaat?
Valt het niemand op wanneer er 350GB wordt weggesluisd? Geen detectiesysteem dat alarm slaat?
Dit vraag ik me ook af, precies zoals met Odido.... waarom wordt er intern zonder zwarte maatregelen te treffen toegestaan dat er aanzienlijk grote hoeveelheden data geëxporteerd of zelfs verplaatst kunnen worden? daar zou best wel op basis van zero trust en assume breach principes toch echt wel even streng naar gekeken moeten worden.
Uiteraard belangrijk om te weten hoe de toegang verliep, anders leren we er niet van:

- was het via een bug in gebruikte software, zo ja was het zero day of fout patching beleid ("we wachten altijd tot de volgende versie omdat updates vaak problemen veroorzaken")

- was het via social engineering en is een beheerder de fout ingegaan (“onze mensen mogen thuis werken op hun eigen systemen zodat we 24/7 standby zijn“)

- was het via niet verplichten van MFA of gebroken keys (“de koffieautomaat en de printer kent geen geen MFA”)

- was het via een medewerker die gecompromitteerd werd (“we weten waar je kinderen naar school gaan”)

- was het via een bedrijf dat het beheer deed (“ze hebben alle ISO certificaten”)
Wellicht weten ze het nog niet.
De hacker zegt dat hij niet van plan is om de Europese Commissie af te persen met de gegevens. In plaats daarvan wil hij de gegevens 'op een later tijdstip' publiceren. Wanneer dat precies zal gebeuren, is niet bekend.
Ik vind dit ook een beetje een vage tekst. Gaat hij zijn exploit publiceren? Of de data die hij bemachtigd heeft.
De gegevens natuurlijk. Dus de emails enz.
Dit is geen ethische hacker, het zullen dus wel allerlei data sets en documenten zijn van de EC
Het blijft toch mooie software om via een systeem al je devices en systemen te beheren. Ze vergeten erbij te vermelden dat je daarmee kwetsbaar bent voor hacking. Wordt het systeem gehackt dan kun je dus bij alle devices en systemen.
On 24 March, the European Commission discovered a cyber-attack, which affected its cloud infrastructure hosting the Commission's web presence on the Europa.eu platform.
Early findings of our ongoing investigation suggest that data have been taken from those websites.
The Commission's internal systems were not affected by the cyber-attack.
Heel onduidelijk wat er precies is buitgemaakt, maar het lijkt zich te beperken tot enkel het web platform. Het is onduidelijk voor mij of europa.eu bijvoorbeeld ook gevoelig of geheime data bevat.

https://ec.europa.eu/commission/presscorner/detail/en/ip_26_748
Ze zijn er in geraakt, kan het ook zijn dat ze het vol met malware hebben gestopt die de EU nu onwetend aan het verspreiden is.
Zo te lezen is het best enorm.
MASSIVE CYBERATTACK: The EU Commission, ENISA, and the DG for Digital Services have been compromised by threat actor ShinyHunters.

Leaked data includes:
▪️ Emails & attachments
▪️ Full SSO user directory
▪️ DKIM signing keys
▪️ AWS config snapshots
▪️ NextCloud/Athena data
▪️ Internal admin URLs

It's a mess!
https://x.com/IntCyberDigest/status/2038038430752374888?s=20
Ik kan hier niet op X komen (sociale media is geblokkeerd :)).

Wel opmerkelijk dat in het bericht van de Europese Commissie het wordt afgedaan als een vrij kleine hack. Maar als ik jouw bericht lees is het echt een enorm lek.
Als je de cyberspecialisten leest op de diverse socials blijkt het inderdaad een grotere hack te zijn dan de EC zelf doet voorkomen.
Tja, alles in de cloud hangen, alles aan internet knopen, een klein leger aan wisselende personen die er mee moeten kunnen werken. Hoge (symbolische) aanvalswaarde. En dan raar opkijken als elke zichzelf respecterende hacker of land er probeert in te komen. Ook nog een cloud systeem gebruiken van een land dat er geen moeite mee heeft als ze mee kunnen lezen.

Soms maak ik dan een flauwe vergelijking met de andere kant van het spectrum. Die enge leider van die enge club die zijn imperium bestuurde met een offline computer. Flashdrives die door een vent op een ezel werden verplaatst tussen de leider en een internet café. Het heeft een land miljoenen dollars gekost en jaren van onderzoek voor de enge leider tegen een kogel aanliep. Of ik denk aan die andere engert in een klein land die het hele land achter intranet hangt. Zo goed als onmogelijk te hacken omdat er weinig echte internet aansluiting is. Dus het kan technisch gezien wel, de EC die een stuk veiliger is qua digitale infra.
Het is al moeilijk genoeg om je systemen zo dicht mogelijk te krijgen, dan kan je het je niet permitteren om ze dan ook nog in beheer te geven bij een commerciële partij onder een totaal andere wet.

Laat dit het volgende alarm zijn: sommige zaken zijn te belangrijk om aan anderen over te laten.

We zouden hier als EU een crisis in moeten zien: we zijn qua ICT totaal lek. Vrijwel alle Europese overheidsdiensten draaien Amerikaanse software op Amerikaanse platforms, en alle Amerikaanse drieletterdiensten kunnen alle data die ze willen gewoon opeisen.

Dat doen ze, en daarbij geven ze ook een zg. gag order zodat het bedrijf ook niet mag zeggen dat er data is opgevraagd.

Elk gevoel van veiligheid dat we hebben over de ICT van de overheid, is onterecht. Zelfs onder een normaal Amerikaans regime zouden we dit drastisch moeten veranderen, maar met de huidige losgeslagen idioot in het Witte Huis moeten we daar wat mij betreft nu echt ogenblikkelijk alles voor uit onze handen laten vallen.

Aan de slag, NU! We hebben genoeg ICT-kennis in Europa om zelf onze infra te bouwen. Het is geen rocket science, zoals die Yanks ons willen doen geloven. Het zijn computers die software draaien, dat kunnen we hier in Europa ook!

Tijd voor noodmaatregelen! We moeten als EU keihard aan de slag, vandaag nog. Zet een commissie op met de duidelijke opdracht: bouw zo snel mogelijk een paar datacenters voor een EU-cloud, en ga als de donder je zaken in eigen beheer nemen.

Kan niet bestaat niet. Wil niet, die leeft nog. Als we met z'n allen erkennen hoe totaal machteloos we nu zijn, en we de noodzaak tot snel en radicaal optreden eindelijk voelen, kunnen we onszelf hier uit redden.

En ja, dat gaat tijd en geld kosten, en er zullen fouten worden gemaakt. Maar haast is geboden! Om Patton te citeren:

A good plan violently executed now is better than a perfect plan executed next week.

Ik hoop dat onze Europese regeringen en Brussel dit nu eindelijk gaan snappen en tot actie komen.
Ik heb er een hard hoofd in. Dit gaat fout aflopen. Zeker ook omdat de EU de persoonsgegevens van alle Europese burgers centraal wil gaan opslaan bij de EU. Zie wat ze willen met DigitalID en ook de European Health Data Space Regulation (EHDS). Een grote honeypot voor hackers.
Dat zijn in mijn ogen twee verschillende zaken.

Centrale opslag van heel veel data maakt het een aantrekkelijk doelwit, maar zolang we die data zelf in beheer hebben, hoeven we "alleen" criminelen buiten te houden.

Als we die grote collectie gevoelige data opslaan op systemen waar die oranje idioot en zijn vriendjes gewoon bij kunnen, hebben we die strijd bij voorbaat al verloren.

Het is een illusie dat je een systeem ooit 100% veilig kunt maken, maar het begint bij het zelf bepalen wie wanneer waar bij kan, dat kan je nooit aan een ander overlaten.
"Centrale opslag van heel veel data maakt het een aantrekkelijk doelwit, maar zolang we die data zelf in beheer hebben, hoeven we "alleen" criminelen buiten te houden."

Ook al zou je centrale opslag in eigen beheer houden, kan je nooit garanderen dat je criminelen buiten houdt. Het is alleen de vraag wanneer het wordt gehackt. Het gaat er mij om dat de EU graag alle persoonsgegevens centraal opgeslagen wil hebben. Dat is vragen om problemen. Heeft even niets met Trump the maken.
We zijn het eens. Wat ik probeerde te zeggen, is dat als je alles opslaat op een platform dat door een ander beheerd wordt, je zelf niet meer kunt bepalen wie er wel of niet bij je data kan.

Het probleem van het buiten houden van criminelen is onverkort van toepassing op beide situaties, het probleem van Trump (en de commerciële partijen die de boel voor ons runnen en heel andere objectieven hebben) is uit te vlakken door alles in eigen beheer te doen.

Door alles in eigen beheer te doen, heb je iig een van beide problemen opgelost.
Ben ik met je eens. Het verkleint in ieder geval het risico.
Voorbeeld nummer zoveel van waarom de digitale verzameldrang van overheden een ramp is
Wellicht ter toevoeging. De dader is dezelfde club als de Odido hack (namelijk shinyhunters). De data staat ook al online.
De 3e wereldoorlog is allang bezig, we zitten er middenin, alleen de wapens zijn (deels) veranderd. Naast cyberdreigingen en fysieke wapens worden hele bevolkingsgroepen ingezet als drukmiddel, zie bijvoorbeeld de grens bij Belarus.
edit:
@dinoballz Ik denk dat ik er een beetje tussenin zit, vanwege de huidige cyberdreigingen en verregaandere integratie van IT-systemen in de samenleving dan tijdens de "1e koude oorlog" zijn we imho al wel een stapje verder dan we toen waren.

[Reactie gewijzigd door TV_NERD op 28 maart 2026 08:49]

Zie je het als een derde weredoorlog? Of een tweede koude oorlog?

Proxy-oorlogen in Oekraine, Iran, shady shit in Venezuela en Jemen en dan wellicht ook nog conflicten in bijv Afrika waar we niks over horen in ons nieuws.
Als mensen gewoon weer een abonnement op een fatsoenlijke krant nemen en niet alleen gratis hap-snap-nieuws dan zie je dat er opeens wel wordt bericht over conflicten in bijvoorbeeld Afrika.
Als de kranten kappen met showbizz en achterklap tussen het echte nieuws te plaatsen dan valt dat te overwegen.

Maar als er dagelijks hele verslagen zijn over de perikelen van “Winter vol liefde” of de Kardashians, die langer en gedetailleerder zijn dan echt nieuws, dan valt die publicatie niet meer serieus te nemen.
Dat zegt @R_Zwart ook: “… een fatsoenlijke krant…” ;)

Mijn voorkeur, als er een stapeltje ligt:
A. NRC, Volkskrant, Trouw
B. Parool, AD
C. Niks lezen
D. Telegraaf

[Reactie gewijzigd door GeeBee op 29 maart 2026 22:58]

AD is echt waardeloos. Helft is achterklap of die Angela de Jong oid. Wat een vicieuze cyclus in mensenvorm. Begint een column over tv kijken en is dan zelf telkens op tv om daar dan vervolgens weer columns over te schrijven.


Trouw dan wel weer gedeeltelijk mee eens. Ookal hebben ze hele periodes waarin ze niks nuttigs schrijven.
Off topic, maar wat is de definitie van derde wereldoorloog? Of wordt het alleen een derde als er Europese landen als Duitsland Frankrijk bij betrokken zijn? Dat voelt ook wat gek.. Europa is weer het belangrijkste..
Het is een wereldoorlog als landen van alle (bewoonde) continenten actief betrokken zijn en er ook wereldwijd gevochten is. Maar de praktijk is natuurlijk simpeler aangezien het geen formele definitie is. Als genoeg mensen het een wereldoorlog noemen dan is het een wereldoorlog. Het is maar een naam.
Ah thanks, dacht er toevallig van de week over na. Zou wel typisch zijn als we het pas zo noemen als West-Europa betrokken is, want wat zijn wij belangrijk.
Toch klopt het wel wat je zegt. West Europa speelde een cruciale rol omdat onze koloniën een belangrijke reden waren waarom WO1 tot een wereldoorlog uitgroeide. We zaten immers overal. Zo is er tijdens WO1 in Afrika en de Stille Oceaan gevochten omdat daar Duitse koloniën waren. Technologie (telegrafie, radio, stoom, etc) deed de rest.

Om te kunnen reageren moet je ingelogd zijn