TeamPCP démantelé ? Deux suspects arrêtés en Australie

La police fédérale australienne (AFP), en collaboration avec le FBI et la police d'Australie-Occidentale, a annoncé l'arrestation de deux hommes soupçonnés d'appartenir à TeamPCP, un groupe accusé d'une série d'attaques par supply chain visant l'écosystème open source. Les suspects, âgés de 21 et 23 ans, ont été interpellés le 26 août à Cottesloe et Mandurah, dans l'ouest du pays.

TeamPCP est tenu pour responsable d’intrusions ayant touché plusieurs projets et plateformes majeurs du développement logiciel, dont Trivy, LiteLLM, Telnyx, SAP et TanStack, ainsi que des organisations comme la Commission européenne, Mistral AI, OpenAI et GitHub. Le mode opératoire du groupe consistait à injecter du code malveillant dans des dépôts open source, code ensuite repris sans le savoir par des développeurs dans leurs propres applications, avec des répercussions jusque dans des systèmes gouvernementaux et académiques.

Selon les autorités, plus d’un millier d’organisations dans le monde auraient été compromises, avec le vol d’environ 500 000 identifiants et l’exfiltration d’au moins 300 Go de données. L’AFP évalue le coût de remédiation à l’échelle mondiale à plusieurs centaines de millions de dollars.

L’enquête, ouverte en avril 2026 grâce à des informations transmises par des entreprises de cybersécurité, a permis de recouper des indices numériques — pseudonymes réutilisés, comptes, activité sur Telegram — pour remonter jusqu’aux identités réelles des suspects, comme l’ont détaillé après coup Flare et le journaliste Brian Krebs. Les deux hommes font face à 14 chefs d’accusation liés à la détention et à la fourniture de données à des fins d’infractions informatiques, l’un d’eux étant en outre poursuivi pour blanchiment présumé de plus de 100 000 dollars. Les peines encourues vont de 3 à 20 ans de prison par chef d’accusation. L’AFP n’exclut pas de nouvelles arrestations à mesure que l’analyse des preuves saisies se poursuit.