Ce que révèlent les inculpations liées à TeamPCP sur une campagne mondiale

La police fédérale australienne (AFP) affirme que deux hommes d’Australie-Occidentale ont été inculpés pour leur rôle présumé au sein de TeamPCP, un groupe de cybercriminels accusé d’avoir injecté du code malveillant dans des logiciels open source de confiance. Les arrestations sont intervenues le 26 août 2026, dans le cadre d’une opération conjointe réunissant l’AFP, la police d’Australie-Occidentale et le FBI. 7

L’affaire illustre un risque particulier : au lieu de s’en prendre directement à chaque entreprise, les attaquants auraient compromis des outils utilisés par les développeurs. Une organisation pouvait ainsi être exposée en installant simplement un paquet ou un logiciel altéré. Les accusations n’ont toutefois pas encore été examinées par un tribunal et les deux hommes sont présumés innocents.

Qui a été arrêté ?

L’AFP indique avoir arrêté un homme de 21 ans à Cottesloe et un homme de 23 ans à Mandurah après des mandats de perquisition visant des propriétés situées à Cottesloe, Hamilton Hill et Mandurah. Des appareils électroniques et d’autres éléments ont été saisis pour être analysés par les enquêteurs. 7

Les informations publiées identifient les suspects comme Ruben Ian Thomson et Louis Michael Gaebler. Il est donc plus exact d’utiliser le nom complet de Gaebler lorsqu’il est nécessaire de le distinguer. Les deux hommes ont comparu, ou devaient comparaître, devant le tribunal de première instance de Perth le 27 août. 37

L’AFP précise que l’analyse médico-légale est toujours en cours et n’exclut pas de nouvelles arrestations ou inculpations. Les sources disponibles ne confirment pas les décisions concernant leur mise en liberté sous caution ; ces éléments ne doivent donc pas être présentés comme établis.

Quelles sont les 14 infractions reprochées ?

Les deux hommes font face à un total de 14 chefs d’inculpation :

• Thomson fait face à huit chefs : possession de données en vue de commettre une infraction informatique ; quatre chefs de modification non autorisée de données avec l’intention de commettre une infraction grave ; fourniture de données en vue de commettre une infraction informatique ; non-respect d’une injonction prise au titre de l’article 3LA ; et implication dans des produits présumés du crime d’un montant d’au moins 100 000 dollars.
• Gaebler fait face à six chefs : possession de données en vue de commettre une infraction informatique ; quatre chefs de modification non autorisée de données avec l’intention de commettre une infraction grave ; et fourniture de données en vue de commettre une infraction informatique. 7

Pour Thomson, les peines maximales mentionnées par l’AFP vont de trois ans pour la possession ou la fourniture de données à cinq ans pour chacune des infractions de modification non autorisée, dix ans pour le non-respect de l’injonction prévue par l’article 3LA et 20 ans pour l’infraction présumée liée aux produits du crime. Les chefs visant la possession, la fourniture et la modification de données s’appliquent également à Gaebler, avec les mêmes plafonds correspondants. 7

Il s’agit de peines maximales prévues par la loi pour des infractions individuelles. Elles ne signifient ni que les deux hommes seront condamnés à ces peines, ni que les durées seront automatiquement cumulées, ni qu’une condamnation est acquise. Les deux prévenus restent présumés innocents tant que leur culpabilité n’a pas été démontrée.

Comment la campagne de TeamPCP aurait-elle fonctionné ?

Selon l’AFP, le groupe aurait introduit du code malveillant dans des logiciels distribués via des dépôts open source. Des développeurs et des organisations auraient ensuite utilisé ces outils sans savoir qu’ils avaient été modifiés, donnant aux attaquants un accès potentiel à des systèmes en aval et à des informations sensibles. 7

La police estime que cette campagne aurait pu :

• compromettre plus de 1 000 organisations dans le monde ;
• permettre le vol de plus de 500 000 identifiants ;
• entraîner l’exfiltration d’au moins 300 gigaoctets de données ;
• et générer des coûts de remédiation de plusieurs centaines de millions de dollars. 7

Ces chiffres sont des estimations de l’enquête et des allégations, non un bilan définitif des victimes ou des pertes. Des articles spécialisés ont par ailleurs associé TeamPCP à des compromissions impliquant Trivy, Checkmarx KICS et LiteLLM, tandis que d’autres signalements évoquent des impacts présumés concernant notamment Mercor et des infrastructures liées à GitHub. 36

La Commission européenne a-t-elle été touchée ?

Les éléments disponibles établissent un lien plus solide qu’une simple possibilité entre l’incident et la Commission européenne. CERT-EU, l’équipe de réponse aux incidents informatiques des institutions européennes, a déclaré avec un haut niveau de confiance que l’accès initial à l’environnement cloud lié à la Commission avait été obtenu au moyen de la compromission de la chaîne logicielle de Trivy, publiquement attribuée à TeamPCP. CERT-EU a également indiqué qu’un volume important de données avait été exfiltré. 23

Cela établit un lien rapporté entre la compromission de Trivy et l’incident touchant le cloud de la Commission européenne. En revanche, cela ne prouve pas à lui seul chacune des accusations portant sur l’implication personnelle des deux prévenus australiens dans cet incident.

Qu’est-ce qui reste incertain ?

Plusieurs affirmations apparues dans les premiers articles ou dans les discussions en ligne doivent être considérées avec prudence :

• Thomson aurait utilisé le pseudonyme « Ellis » ;
• il aurait dirigé TeamPCP jusqu’en mars 2026 ;
• il aurait personnellement gagné environ 20 000 dollars ;
• TeamPCP aurait fonctionné comme une communauté de pairs autour d’une figure centrale plutôt que comme une organisation hiérarchisée ;
• le groupe aurait créé le ver informatique original Shai-Hulud.

Des chercheurs en sécurité ont lié TeamPCP à une vague de propagation appelée « Mini Shai-Hulud ». Cela ne suffit pas à établir que TeamPCP a créé le logiciel malveillant Shai-Hulud original. De même, présenter le groupe comme peu sophistiqué sur le plan technique ou comme principalement dépendant d’exploits et d’idées de logiciels malveillants rapidement réutilisés relève de l’analyse, et non d’une conclusion figurant dans l’annonce d’inculpation de l’AFP. 3

Certains médias décrivent Thomson comme un dirigeant ou un participant principal. Les éléments provenant des sources les plus solides ne permettent cependant pas de confirmer toutes les affirmations plus détaillées sur son identité, la structure du groupe ou ses revenus. Les documents judiciaires, les audiences à venir ou de nouvelles annonces des enquêteurs pourraient apporter des précisions.

Quelle est la prochaine étape ?

Les enquêteurs vont poursuivre l’analyse des appareils et des autres éléments saisis lors des perquisitions. L’AFP indique que ce travail est en cours et que de nouvelles arrestations ou inculpations restent possibles. 7

À ce stade, le tableau confirmé est plus limité que certaines descriptions très affirmatives de l’affaire : deux hommes ont été inculpés pour 14 infractions présumées dans le cadre d’une enquête australo-américaine sur une importante campagne d’attaque de la chaîne logicielle. L’ampleur alléguée est considérable, mais le rôle exact des suspects, leurs éventuels pseudonymes, leurs gains et la structure précise de TeamPCP restent à établir.