Deux arrestations dans une attaque mondiale voluant 500 000 identifiants
Deux hommes originaires d’Australie-Occidentale ont été inculpés dans le cadre d’une opération cybercriminelle mondiale. Selon les autorités, ils auraient détourné des outils open source pour subtiliser des identifiants auprès de plus de 1 000 organisations à travers le monde. La Police fédérale australienne (AFP), la Police de l’État d’Australie-Occidentale et le FBI ont mené des perquisitions à Perth le 26 août 2026, arrêtant un homme de 21 ans de Cottesloe et un autre de 23 ans de Mandurah. Ils sont désormais accusés de 14 infractions, dont modification non autorisée de données et recel de produits issus d’infractions.
Déroulement de l’attaque
Les enquêteurs affirment que les deux individus, liés à un groupe criminel nommé TeamPCP, auraient inséré des codes malveillants dans des outils open source largement utilisés et hébergés sur des dépôts publics. Des développeurs, sans méfiance, ont intégré ces composants compromis à leurs propres systèmes, diffusant ainsi le malware sans le savoir à des agences gouvernementales, des établissements universitaires et des entreprises privées. L’AFP indique que des enquêtes parallèles avaient débuté en avril 2026, après que plusieurs sociétés d’évaluation des menaces cyber aient alerté les autorités sur l’augmentation des paquets malveillants sur les plateformes open source déclare l’AFP.
Parmi les outils infectés figuraient Trivy (un scanner de vulnérabilités pour conteneurs), KICS (un outil d’analyse d’infrastructure en tant que code), LiteLLM (une bibliothèque de routage des requêtes pour modèles d’IA) et le SDK Python de Telnyx—chacun étant couramment intégré dans les pipelines CI/CD d’entreprise, les flux de travail cloud et les processus de sécurité. L’ampleur de la compromission est considérable : plus de 500 000 identifiants et au moins 300 Go de données ont été exfiltrés, avec des coûts de remédiation déjà estimés à plusieurs centaines de millions de dollars.
Une menace persistante pour la chaîne logistique logicielle
Cette affaire met en lumière une tendance inquiétante : les attaquants ciblent de plus en plus les outils de confiance qui sous-tendent le développement logiciel moderne. L’historique de TeamPCP révèle un schéma d’attaques sur la chaîne logistique, allant des infiltrations antérieures dans les dépôts PyPI et NPM à la récente campagne « Mini Shai-Hulud », qui a même piégé deux employés d’OpenAI. En compromettant des bibliothèques largement adoptées, les cybercriminels peuvent infiltrer massivement des systèmes avec un effort minimal, transformant une seule mise à jour malveillante en une porte dérobée pour des milliers d’utilisateurs en aval.
Pourquoi cet incident est-il important ?
Cet événement n’est pas une anomalie isolée, mais s’inscrit dans une évolution plus large des stratégies cybercriminelles. L’utilisation des dépôts open source comme vecteurs d’attaque soulève des questions urgentes sur la sécurité de la chaîne logistique logicielle—un pilier de l’infrastructure numérique. Pour les organisations, la leçon est claire : la confiance dans les outils open source doit s’accompagner de validations rigoureuses, de scans automatisés et de protocoles de réponse rapide. Pour les décideurs politiques et les mainteneurs de plateformes, le défi consiste à concilier ouverture et sécurité, afin que les systèmes conçus pour accélérer l’innovation ne deviennent pas le maillon faible de la chaîne.
Source : Security Affairs. Synthèse éditoriale assistée par IA — TechnoExpress.