หน่วยวิเคราะห์ภัยคุกคามของ Google (Google Threat Intelligence Group) เปิดเผยข้อมูลการส่งนักวิเคราะห์ความปลอดภัยจาก Mandiant แฝงตัวเข้าเป็นสายลับในกลุ่มแฮกเกอร์ชื่อดัง "TeamPCP" ซึ่งเป็นกลุ่มที่อยู่เบื้องหลังการโจมตีห่วงโซ่อุปทานซอฟต์แวร์ (Software Supply-Chain) ครั้งใหญ่ที่สุดครั้งหนึ่งในประวัติศาสตร์ โดยการแทรกซึมครั้งนี้ช่วยให้ Google สามารถเฝ้าสังเกตการณ์ปฏิบัติการจากภายใน แจ้งเตือนเหยื่อผู้เคราะห์ร้าย และสกัดกั้นความพยายามในการเรียกค่าไถ่ข้อมูลของกลุ่มแฮกเกอร์ได้อย่างทันท่วงที ก่อนที่สมาชิกหลักสองรายจะถูกจับกุมในประเทศออสเตรเลียเมื่อเดือนสิงหาคมที่ผ่านมา
Austin Larsen นักวิจัยจาก Google เปิดเผยในงานประชุมความปลอดภัยไซเบอร์ LABScon ว่า สายลับของ Mandiant ได้รับเชิญให้เข้าร่วมกลุ่มแชตหลักของ TeamPCP ที่ชื่อ "CanisterWorm" ตั้งแต่ช่วงเริ่มต้นปฏิบัติการในเดือนมีนาคม 2026 ทำให้ Google สามารถเข้าถึงเซิร์ฟเวอร์เก็บข้อมูลประจำตัว (Credentials) ที่ถูกขโมยมามากกว่า 500,000 รายการ ซึ่งแฮกเกอร์ได้มาจากการฝังมัลแวร์และเวิร์มชื่อ "Mini Shai-Hulud" ลงในโปรแกรมโอเพนซอร์สยอดนิยม เช่น Trivy, LiteLLM และแพลตฟอร์ม Mistral AI เพื่อขโมยบัญชีผู้พัฒนาซอฟต์แวร์และขยายผลการโจมตีไปยังบริษัทกว่า 1,000 แห่ง รวมถึง GitHub, Mercor และ OpenAI ทั้งนี้ Google เลือกที่จะไม่แจ้งเตือนเหยื่อทีละรายเนื่องจากความล่าช้า แต่ใช้วิธีประสานงานโดยตรงกับผู้ให้บริการคลาวด์รายใหญอย่าง Amazon Web Services และ Microsoft เพื่อเพิกถอนสิทธิ์การใช้งานบัญชีที่ถูกขโมยเหล่านั้นทันที
นอกจากนี้ ข้อมูลจากสายลับยังช่วยให้ Google ตรวจพบว่าสมาชิกของ TeamPCP ได้ใช้เครื่องมือปัญญาประดิษฐ์ (AI) ในการพัฒนาโค้ดโจมตีช่องโหว่ซีโร่เดย์ (Zero-day Exploit) เพื่อข้ามระบบยืนยันตัวตนสองขั้นตอน (2FA) ของซอฟต์แวร์ล็อกอินชื่อดัง ซึ่ง Google ได้นำโค้ดดังกล่าวมาทดสอบและแจ้งผู้พัฒนาให้ดำเนินการออกแพตช์ความปลอดภัยได้สำเร็จก่อนจะถูกนำไปใช้งานจริง อย่างไรก็ตาม ความขัดแย้งภายในกลุ่มแฮกเกอร์เริ่มปะทุขึ้นเมื่อ TeamPCP ดึงกลุ่มแฮกเกอร์ "ShinyHunters" เข้ามาร่วมแบ่งผลประโยชน์จากการเรียกค่าไถ่ แต่ ShinyHunters กลับหักหลังด้วยการนำข้อมูลไปรีดไถเองและส่งบันทึกการสนทนาทั้งหมดให้แก่ Google ส่งผลให้ TeamPCP บีบวงสนทนาให้แคบลงและตัดสายลับของ Google ออกจากกลุ่มแชตหลักในที่สุด
แม้จะสูญเสียช่องทางเข้าถึงภายใน แต่ Larsen สามารถระบุตัวตนของ Ruben Ian Thomson หนึ่งในแกนนำกลุ่มชาวออสเตรเลียได้สำเร็จ จากความผิดพลาดด้านความปลอดภัยส่วนบุคคล (OPSEC) โดยพบว่าบัญชีผู้ใช้ในฟอรัมแฮกเกอร์เชื่อมโยงกับอีเมล Gmail ที่ใช้สำรองข้อมูลที่ขโมยมาไปยัง Google Drive ส่วนตัว และเชื่อมโยงกับบัญชี PayPal ของเขาเอง Google จึงได้ส่งข้อมูลเบาะแสสำคัญนี้ให้แก่ FBI และตำรวจสหพันธรัฐออสเตรเลีย (AFP) นำไปสู่การออกหมายค้นและจับกุมตัว Thomson และ Louis Michael Gaebler ผู้ร่วมขบวนการในเวลาต่อมา ซึ่งปฏิบัติการครั้งนี้สะท้อนถึงการปรับกลยุทธ์ของหน่วยทำลายล้างไซเบอร์ (Cyber Disruption Unit) ของ Google ที่เน้นการตอบโต้เชิงรุกเพื่อปกป้องผู้ใช้งานมากกว่าเพียงแค่การรายงานข่าวสารภัยคุกคาม
