Australia ha arrestato e incriminato due uomini di Perth come presunti partecipanti chiave a TeamPCP, ma il fatto operativo resta nel bottino già raccolto: oltre 1.000 organizzazioni coinvolte, più di 500.000 credenziali esposte e almeno 300 GB sottratti. L’inchiesta lega la campagna a compromissioni di strumenti e package usati da team di sviluppo, con impatto su tecnologia, governo e istruzione.
Il gruppo ha inserito codice malevolo in software considerato affidabile, così gli sviluppatori lo hanno eseguito dentro normali flussi di build e rilascio. Da lì ha rubato secret di CI/CD e token di publishing, cioè le chiavi che permettono di pubblicare altro software e riaprire la stessa catena dall’interno. Per questo la rimozione dei pacchetti infetti non basta a chiudere l’esposizione.
Per chi usa registri open source, pipeline CI/CD o tool di sviluppo con accesso a cloud e pubblicazione, il punto non è solo l’attribuzione. Le credenziali e i token toccati durante la finestra di compromissione possono restare riutilizzabili da affiliati o altri attori anche dopo gli arresti, e i dispositivi sequestrati possono ancora chiarire quali segreti vanno trattati come compromessi.