Australie : deux membres présumés de TeamPCP arrêtés pour des attaques en chaîne d’approvisionnement

Deux Australiens de 21 et 23 ans, présumés membres du groupe TeamPCP, sont en garde à vue pour avoir orchestré des attaques ciblant la chaîne d’approvisionnement logicielle. Leurs actions auraient compromis plus de 1 000 organisations et volé plus de 500 000 identifiants depuis décembre 2025.

Des arrestations en Australie-Occidentale

La police fédérale australienne (AFP) a interpellé deux hommes le 26 août 2026 à Cottesloe et Mandurah, en Australie-Occidentale. Ils sont accusés d’appartenir à TeamPCP, un groupe responsable d’attaques en série contre des outils open source comme Trivy, LiteLLM ou le SDK Python de Telnyx. Les deux suspects, âgés de 21 et 23 ans, font face à 14 chefs d’accusation, dont modification non autorisée de données, possession de données à des fins criminelles et blanchiment d’argent. Le premier risque jusqu’à 20 ans de prison, le second jusqu’à 10 ans.

Un groupe spécialisé dans les attaques en chaîne

TeamPCP a émergé fin 2025 en ciblant d’abord des infrastructures cloud mal configurées (API Docker, clusters Kubernetes, instances Redis). Dès 2026, le groupe s’est tourné vers la chaîne d’approvisionnement logicielle : en infectant un composant de confiance, il contaminait ensuite tous les projets qui l’utilisaient. Leur méthode reposait sur l’injection de code malveillant dans des outils open source, comme le scanner de vulnérabilités Trivy ou la bibliothèque LiteLLM. Une fois intégré, ce code volait des identifiants, des secrets cloud ou des tokens GitHub pour rebondir vers d’autres cibles.

Le ver Shai-Hulud, utilisé par TeamPCP, se propageait automatiquement via les pipelines CI/CD (outils de développement, test et déploiement continu). Il collectait les identifiants en mémoire des machines infectées, puis les réutilisait pour compromettre d’autres paquets. En mars 2026, la compromission de Trivy a permis d’infecter KICS, le SDK Python de Telnyx et LiteLLM, entraînant le vol de téraoctets de données et de 500 000 identifiants selon les autorités. D’autres estimations, comme celles de CloudSEK, évoquent plus de 2 500 organisations touchées et 434 000 pipelines CI/CD exposés.

Des traces numériques et une visibilité fatale

L’enquête, lancée en avril 2026 après des signalements de sociétés de cybersécurité, a bénéficié de la visibilité excessive des membres de TeamPCP. Leurs activités sur Telegram, X, Steam (l’un jouait à Call of Duty), ou des forums pirates, combinées à la réutilisation de pseudonymes, d’avatars ou d’adresses e-mail, ont permis de remonter jusqu’à eux. Des perquisitions ont eu lieu à Cottesloe, Hamilton Hill et Mandurah, avec saisie de matériel électronique pour analyse.

Le groupe a aussi revendiqué des attaques contre des entités comme RapidFort (569 Go de données volées en mars 2026), Mercor (4 To de données exfiltrées), ou encore l’infrastructure cloud de la Commission européenne. TeamPCP a collaboré avec des groupes de ransomware comme VECT 2.0, dont le mécanisme de chiffrement défectueux a parfois détruit des données de manière irréversible. Parmi les victimes indirectes figuraient des organisations comme Sportradar, dont les données ont été proposées à la vente pour 50 000 dollars.

À découvrirLes entreprises privées de cybersécurité autorisées à pirater des cybercriminels à l’étrangerActu · 14 août 2026

Ce que ça change pour les entreprises

Les attaques de TeamPCP ont révélé des failles dans la sécurisation des chaînes d’approvisionnement. Le FBI a conseillé en juillet 2026 de considérer les données et identifiants exfiltrés comme un risque persistant, et de renouveler systématiquement les secrets CI/CD, tokens GitHub et accès cloud. Les coûts de remédiation mondiaux sont estimés à plusieurs centaines de millions de dollars.

Le groupe a aussi ouvert la source du framework Mini Shai-Hulud sur GitHub en mai 2026, et une nouvelle vague d’attaques via npm a ciblé les paquets keyv et cacheable début août. Les autorités australiennes n’excluent pas de nouvelles arrestations.

Ces arrestations rappellent que même les groupes les plus actifs laissent des traces exploitables. Pour les entreprises, l’enjeu reste de verrouiller les accès aux pipelines CI/CD et de surveiller les dépendances logicielles. La menace persiste : les identifiants volés peuvent être réutilisés longtemps après les premières compromissions.