Arrestations de deux Australiens soupçonnés d’être liés à TeamPCP : les faits établis

Ce qui s’est passé le 26 août

La police fédérale australienne (AFP), la police d’Australie-Occidentale et le FBI américain ont mené une opération conjointe dans l’ouest de l’Australie. Des mandats de perquisition ont été exécutés dans des propriétés situées à Cottesloe, Hamilton Hill et Mandurah.

L’opération a abouti à l’arrestation de deux hommes : Ruben Ian Thomson, âgé de 21 ans et domicilié à Cottesloe, ainsi que Louis Michael Gaebler, âgé de 23 ans et domicilié à Mandurah. Les enquêteurs ont saisi des appareils électroniques et d’autres éléments qui doivent désormais faire l’objet d’analyses forensiques. 7

Les identités et la situation devant la justice

Les articles de presse identifient le second suspect sous son nom complet, Louis Michael Gaebler, et non simplement « Michael Gaebler ». Les deux hommes devaient comparaître devant le tribunal de première instance de Perth le 27 août.

Le communiqué de l’AFP consulté ne précise pas les décisions prises concernant leur éventuelle libération sous caution. Ces informations doivent donc être considérées comme non confirmées sur la base des éléments disponibles. 7

Comme dans toute procédure pénale, les accusations portées ne constituent pas une preuve de culpabilité.

Quelles charges ont été retenues ?

Ruben Thomson fait face à huit chefs d’accusation :

• possession de données en vue de commettre une infraction informatique, passible d’une peine maximale de trois ans de prison ;
• quatre chefs de modification non autorisée de données avec l’intention de commettre une infraction grave, chacun passible d’un maximum de cinq ans ;
• fourniture de données en vue de commettre une infraction informatique, passible d’un maximum de trois ans ;
• non-respect d’une injonction prévue par l’article 3LA, passible d’un maximum de dix ans ;
• opération portant sur au moins 100 000 dollars de produits présumés d’une infraction, passible d’un maximum de 20 ans. 7

Louis Michael Gaebler fait face à six chefs d’accusation : possession de données, quatre chefs de modification non autorisée de données et fourniture de données en vue de commettre une infraction informatique. Les peines maximales correspondantes sont de trois ou cinq ans selon l’infraction. 7

Ces plafonds légaux ne signifient pas qu’ils seraient automatiquement additionnés, ni qu’ils correspondent à la peine qui serait prononcée en cas de condamnation.

Une attaque visant la chaîne d’approvisionnement logicielle

Selon l’AFP, le groupe aurait inséré du code malveillant dans des logiciels distribués via des dépôts open source. Des développeurs en aval auraient ensuite utilisé ces versions sans savoir qu’elles avaient été compromises.

Les autorités australiennes estiment que cette méthode aurait pu toucher plus de 1 000 organisations dans le monde, permettre le vol de plus de 500 000 identifiants et entraîner l’exfiltration d’au moins 300 gigaoctets de données. Les coûts de remédiation — c’est-à-dire les dépenses nécessaires pour contenir l’attaque, restaurer les systèmes et sécuriser les environnements concernés — se chiffreraient en centaines de millions de dollars, selon les allégations de l’AFP. 7

Les compromissions associées à TeamPCP ont notamment concerné les projets de sécurité open source Trivy, Checkmarx KICS et LiteLLM, d’après des travaux de veille et de recherche en cybersécurité. D’autres cibles présumées, dont Mercor et des infrastructures liées à GitHub, ont également été mentionnées dans la presse spécialisée. 36

Un élément distinct est mieux documenté : CERT-EU, l’équipe de réponse aux incidents informatiques des institutions européennes, a confirmé que la Commission européenne avait signalé un incident cloud important lié à la compromission de la chaîne d’approvisionnement de Trivy. CERT-EU estime avec un niveau de confiance élevé que cet incident a commencé par cette compromission. 1

Ce qui reste à démontrer

Plusieurs affirmations circulent au sujet de Ruben Thomson et de TeamPCP, mais elles ne sont pas toutes étayées par des documents judiciaires ou des éléments officiels suffisamment solides.

Les informations disponibles ne permettent pas de confirmer que Thomson utilisait l’alias « Ellis », qu’il dirigeait TeamPCP jusqu’en mars 2026 ou qu’il aurait personnellement tiré environ 20 000 dollars de ces opérations. Elles ne permettent pas non plus d’établir avec certitude si TeamPCP fonctionnait autour d’un chef unique ou comme un collectif de participants.

Des chercheurs en sécurité ont par ailleurs relié TeamPCP à une vague de propagation baptisée « Mini Shai-Hulud ». En revanche, les éléments disponibles ne suffisent pas à affirmer que le groupe a créé le logiciel malveillant original Shai-Hulud. De même, l’idée selon laquelle ses membres auraient surtout réutilisé rapidement des exploits et des concepts malveillants publics relève d’une analyse technique, et non d’une conclusion officiellement établie par l’AFP. 3

La suite de l’enquête

L’analyse des appareils et des données saisis se poursuit. L’AFP indique qu’elle n’exclut pas de nouvelles arrestations ni de nouvelles inculpations. Les prochaines étapes dépendront donc des résultats de l’expertise numérique et de la procédure devant les tribunaux d’Australie-Occidentale. 7