Google a placé une taupe au sein de TeamPCP et a observé de l'intérieur la pire attaque de la chaîne d'approvisionnement de l'histoire

TeamPCP a contaminé des centaines de programmes open source avec des logiciels malveillants, détourné des identifiants de développeurs pour implanter son code dans davantage d'outils largement utilisés, et automatisé ce cycle avec un ver auto-propagateur sur le thème de Dune — compromettant des cibles allant du scanner de sécurité Trivy et des outils d'IA de LiteLLM et Mistral AI jusqu'à GitHub, Mercor, les appareils d'employés d'OpenAI et la Commission européenne. Google a révélé en septembre 2026 que son unité Mandiant disposait d'un analyste infiltré au sein du cercle rapproché du groupe depuis presque le début.

La persona avait passé des mois à gagner la confiance d'un acteur invité au sein de TeamPCP, et a été ajoutée au chat central CanisterWorm — l'un d'une douzaine de membres environ — et a atteint le serveur où les identifiants volés étaient stockés pour l'extorsion. « Essentiellement, dès le premier jour ou presque, Mandiant observait tout en coulisses », a déclaré Austin Larsen, de Google Threat Intelligence Group, à WIRED.

Plutôt que d'alerter directement les propriétaires de milliers d'identifiants volés, ce qui aurait pris trop de temps, Google s'est d'abord adressé aux fournisseurs de services pour briser l'accès des criminels à grande échelle, et a suivi les erreurs de sécurité opérationnelle des dirigeants présumés pour transmettre aux forces de l'ordre des détails identifiants. Des renseignements sont également venus de ShinyHunters, un groupe criminel rival qui s'est retourné contre son partenaire.

Mandiant a passé des mois à développer une persona en ligne jusqu'à ce que TeamPCP l'invite dans le cercle rapproché — puis a averti les victimes en s'adressant aux fournisseurs, et non aux entreprises.

Une persona de confiance au sein du groupe transforme le renseignement sur les menaces, d'une analyse médico-légale a posteriori, en une visibilité en temps réel sur les cibles et les projets.

La réinitialisation des identifiants au niveau des fournisseurs corrige des milliers de victimes en quelques actions, devançant ainsi le compte à rebours de l'extorsion.

Le traçage des erreurs de sécurité opérationnelle jusqu'à des suspects nommés a transformé la surveillance en poursuites.

Des groupes rivaux devenus informateurs ont apporté une couverture que la taupe seule ne pouvait fournir.

L'infiltration combinée à une remédiation côté fournisseur surpasse le tri victime par victime : lorsque les compromissions dépassent votre capacité à avertir, corrigez en amont, là où une seule action couvre des milliers de cas.

En août 2026, la police australienne, en collaboration avec le FBI, a arrêté et inculpé deux participants principaux présumés de TeamPCP, Ruben Ian Thomson et Louis Michael Gaebler. Larsen a présenté l'infiltration lors de la conférence LABScon de SentinelOne le 18 septembre 2026.