Cher Internet,
Hier, j’ai publié un article expliquant en quoi Shai-Hulud était l’une des meilleures avancées en matière de sécurité de la chaîne d’approvisionnement. Cette thèse se voulait délibérément provocatrice. Car, en fin de compte, les « attaques de la chaîne d’approvisionnement » observés au cours de l’année écoulée, et plus particulièrement au cours des six derniers mois, ont causé des dommages et des perturbations considérables, tant aux entreprises qu’aux particuliers.
La vague d'attaques à laquelle nous avons assisté, notamment de la part de TeamPCP, a causé des dégâts considérables. Même si certaines conséquences à long terme pourraient, à terme, renforcer l'écosystème, personne ne doit pour autant en conclure que ces attaques sont en elles-mêmes une bonne chose.
Aujourd'hui, je ressens surtout un grand soulagement après avoir pris connaissance des informations communiquées par la Police fédérale australienne (AFP), le Federal Bureau of Investigation (FBI) et la Police d'Australie-Occidentale (WAPF). Selon leur communiqué, ils ont arrêté deux hommes âgés d'une vingtaine d'années, qu'ils soupçonnent d'être à l'origine du groupe TeamPCP.
À propos de Shai-Hulud
Avant d’approfondir l’actualité qui a fait la une aujourd’hui : rien n’indique en aucun cas que TeamPCP soit à l’origine des premières attaques « S1ngularity » et « Shai-Hulud » observées durant l’été 2025. Cependant, ce groupe a cloné le ver, et des informations ont régulièrement fait état de son implication dans les attaques « Shai-Hulud ». Je tiens à préciser qu’il s’agit d’attaques distinctes. Nous ne savons toujours pas qui était à l'origine des attaques initiales, et nous ne le saurons peut-être jamais.
Un soupir de soulagement
Ces six derniers mois ont été assez surréalistes. Pour moi personnellement, les choses ont pris une tournure étrange le 21 mars 2026, alors que j'enquêtais sur une attaque et que j'ai vu ceci :
Vous auriez pu vous sentir flatté. Pour ma part, ce n'était pas le cas. Depuis le début de ma carrière dans le domaine de la sécurité, j'ai dû faire face à des groupes criminels organisés, et il n'y a rien d'amusant ni de flatteur à attirer leur attention. Ces individus peuvent être instables, imprévisibles et tout à fait capables de vous rendre la vie impossible s'ils décident de s'en prendre à vous.
C’est ce qui rend ces dynamiques parasociales si dérangeantes. Elles sont à sens unique, instables et potentiellement dangereuses. Se faire remarquer par des criminels peut facilement être interprété à tort comme une forme de statut ou de reconnaissance. En réalité, cela signifie surtout que des personnes dont on préférerait se tenir à l’écart ont décidé de s’intéresser à vous.
Un acteur malveillant inhabituel
TeamPCP n'a jamais vraiment correspondu aux catégories habituelles. Ce n'était pas vraiment un acteur étatique, pas tout à fait une organisation de cybercriminalité, ni un groupe purement idéologique. Il semblait se situer quelque part entre ces trois catégories, mêlant argent, politique, perturbation, ego et soif d'attention d'une manière qui le rendait difficile à cerner.
Ils n'étaient pas non plus particulièrement sophistiqués. Ce qui les rendait dangereux, c'était leur capacité à s'approprier les exploits, les techniques, les recherches et les concepts de logiciels malveillants rendus publics, puis à les mettre rapidement en œuvre. Les modèles de langage à grande échelle (LLM) semblent avoir contribué à réduire le délai entre la découverte d'une technique d'attaque et son déploiement à grande échelle. Une capacité accrue, sans restriction supplémentaire, est sans doute la manière la plus simple de décrire ce qui faisait de TeamPCP un tel problème.
Les institutions ont davantage d'importance
À mesure que les grands modèles de langage (LLM) accélèrent l'apprentissage, l'expérimentation, le développement d'outils et la mise à l'échelle, des acteurs relativement inexpérimentés peuvent devenir capables de causer de graves préjudices bien plus rapidement qu'auparavant. TeamPCP a démontré l'ampleur des dégâts qu'un très petit groupe peut causer en un laps de temps remarquablement court. Cela rend les institutions chargées de la sécurité encore plus importantes.
Les mesures de défense techniques peuvent permettre de contenir un incident, mais elles ne suffisent pas à elles seules à garantir la responsabilisation. C’est pourquoi j’ai tant d’estime pour les autorités australiennes impliquées dans cette affaire. Une grande partie de ce travail est difficile, minutieux et invisible de l’extérieur, mais ce sont finalement des institutions efficaces qui nous permettent de passer d’une simple réaction aux attaques à l’imposition de véritables sanctions.
Mais les institutions évoluent lentement
Le problème, c'est que les cyberattaquants et les institutions évoluent désormais selon des rythmes radicalement différents. Une poignée de personnes disposant des outils adéquats peut passer d'une idée à une nouvelle campagne en quelques heures ou quelques jours, tandis que la collecte de preuves, la coordination transfrontalière et l'obtention d'un résultat durable peuvent prendre des mois, voire des années.
Les modèles de langage de grande envergure (LLM) ne feront qu’aggraver le problème. Nous réduisons le temps nécessaire pour acquérir des compétences et concrétiser les idées, alors que les systèmes chargés de remédier à ces préjudices ne peuvent pas simplement s’adapter au même rythme. Il deviendra de plus en plus important de trouver comment combler cet écart sans pour autant sacrifier le respect des procédures légales.
Et ensuite ?
S'il y a bien une chose que je retiens de ces six derniers mois, c'est que TeamPCP ne sera pas le dernier groupe de ce genre. Les obstacles s'amenuisent, les outils s'améliorent et les petites équipes acquièrent des capacités qui, il y a encore quelques années à peine, auraient nécessité bien plus d'expertise et d'infrastructures.
Les conditions qui ont permis l'émergence de TeamPCP ne sont pas près de disparaître. Au contraire, elles s'aggravent. L'écart entre la rapidité avec laquelle les attaquants acquièrent des capacités et celle avec laquelle nos institutions sont capables de réagir risque de se creuser encore davantage. Le défi consiste à veiller à ce que l'écosystème et les systèmes qui l'entourent puissent s'adapter suffisamment rapidement à un monde où des groupes très petits, peu expérimentés et imprévisibles sont capables de causer des dégâts disproportionnés.
Pour moi, cependant, aujourd’hui, il s’agit moins de cet avenir que de tourner la page. TeamPCP m’a coûté beaucoup de nuits de sommeil, beaucoup de week-ends et bien plus d’énergie mentale que je ne l’aurais souhaité. Je sais qu’il y aura tôt ou tard un autre incident, un autre groupe et une autre longue nuit.
Mais j'espère que ce ne sera pas le cas ce week-end.
