TeamPCP : deux pirates arrêtés après des attaques sur des logiciels open source

Deux Australiens viennent d'être arrêtés à Perth, accusés d'avoir empoisonné des logiciels open source très utilisés pour voler des identifiants à des milliers d'entreprises. Derrière cette affaire, un groupe de pirates surnommé TeamPCP, qui a notamment visé OpenAI, GitHub et la Commission européenne. Voici ce qu'on sait.

Des logiciels open source piégés à la source

L'astuce de TeamPCP est redoutable : plutôt que d'attaquer directement les entreprises, le groupe s'en prenait aux outils open source que ces entreprises utilisent sans se méfier. En injectant du code malveillant dans des logiciels très répandus, les pirates pouvaient toucher des centaines de victimes d'un seul coup, sans jamais avoir à forcer une porte.

C'est exactement ce qu'on appelle une attaque sur la chaîne d'approvisionnement logicielle : on ne casse pas la serrure, on piège la clé que tout le monde utilise. Le scanner de vulnérabilités Trivy, très populaire chez les développeurs, a été l'une des cibles. Une fois le code malveillant installé sur une machine, il fouillait les disques à la recherche de clés privées, de jetons GitHub et d'autres identifiants, puis les envoyait à un serveur contrôlé par les pirates.

Deux hommes menottés escortés par la police australienne après leur arrestation à Perth

Crédit : Australian Federal Police, via TechCrunch.

Plus de mille organisations touchées

Selon la police fédérale australienne, le code malveillant aurait compromis plus de mille organisations dans le monde, permis le vol de plus de 500 000 identifiants et l'exfiltration d'au moins 300 gigaoctets de données. Le coût global de la remédiation se chiffrerait en centaines de millions de dollars.

Parmi les victimes connues, on retrouve la startup de recrutement par IA Mercor, OpenAI, GitHub, ainsi que l'infrastructure cloud de la Commission européenne. Le FBI, qui a travaillé en parallèle avec la police australienne, estime que les deux hommes arrêtés font partie des principaux membres du groupe.

Une enquête partie d'un simple signalement

L'enquête a démarré en avril 2026, après que plusieurs entreprises de cybersécurité ont signalé aux autorités l'existence de ce syndicat. Les perquisitions menées à Perth ont permis de saisir des appareils électroniques et une grande quantité de données volées. Les deux hommes, âgés de 21 et 23 ans, ont été inculpés de quatorze chefs d'accusation au total, allant de la modification non autorisée de données au blanchiment d'argent en cryptomonnaie.

Le journaliste indépendant Brian Krebs affirme avoir identifié l'un des suspects, un certain Ruben Thomson, qui se présentait comme le chef de TeamPCP jusqu'en mars 2026. L'enquête se poursuit et d'autres arrestations ne sont pas exclues.

Ce que ça change pour toi

Cette affaire rappelle une leçon simple : un logiciel open source, même très populaire, n'est pas à l'abri d'une compromission. Si tu utilises des outils de développement ou des scanners de sécurité, vérifie régulièrement les versions que tu emploies et surveille les annonces de sécurité des projets. Et surtout, ne réutilise jamais les mêmes identifiants partout : c'est précisément ce que les pirates cherchent à voler.

On en parlait déjà à propos d'une faille critique dans GitLab qui laissait modifier des projets publics : la sécurité de la chaîne d'approvisionnement est devenue un enjeu central du logiciel libre.

La fin d'un gang, pas de la menace

L'arrestation de deux membres présumés de TeamPCP est une victoire pour les enquêteurs, mais elle ne règle pas le problème de fond. Tant que des outils open source seront utilisés en masse, ils resteront des cibles de choix pour les cybercriminels. La vigilance individuelle et la rotation régulière des identifiants restent les meilleures protections.