Агент Google внутри TeamPCP
Аналитик Mandiant (дочерней структуры Google) несколько месяцев вёл двойную игру: сначала он выстроил доверие с будущим участником TeamPCP, а когда того приняли в группу, в марте 2026 года попал в закрытый чат CanisterWorm к двенадцати ключевым хакерам. По сути, Google наблюдала за группировкой с первого дня её активности. О глубине внедрения говорит эпизод: обсуждая слежку с экс-аналитиком австралийской полиции Майклом Флетчером, исследователь Google попросил быть осторожнее — среди хакеров уже есть «свой».
Со временем агент добрался и до сервера TeamPCP с украденными логинами и токенами — по данным австралийской полиции, группа собрала данные более 500 тысяч пользователей. Google не стала обзванивать жертв по одной, а напрямую предупредила AWS, Microsoft и других вендоров для быстрого отзыва скомпрометированных данных. Внутренний чат вскрыл и ещё одну угрозу: один из хакеров с помощью ИИ разрабатывал 0-day-эксплойт для обхода двухфакторной защиты — код проверили, разработчика софта предупредили, уязвимость закрыли.
Позже внутри TeamPCP начались раздоры: привлечённая для монетизации данных ShinyHunters стала вымогать деньги сама и не делилась прибылью, а затем передала Ларсену полный лог внутреннего чата — не подозревая, что у Google уже есть свой источник. После утечки группировка сузила круг и исключила аналитика Mandiant. Но расследование продолжилось: через утечку BreachForums и старые архивы Ларсен связал аккаунт TeamPCP с почтой sheepstealing@gmail.com и PayPal на имя 21-летнего Рубена Иэна Томсона, а резервная копия базы украденных данных нашлась в его Google Drive.
Материалы передали в ФБР, и в конце августа австралийская полиция арестовала Томсона и Луиса Майкла Геблера — ключевых участников TeamPCP. В Google подчёркивают: внедрённый аналитик не участвовал во взломах и не подталкивал хакеров к атакам, его задачей было наблюдать и не вызывать подозрений. Так разведка изнутри, а не погоня по цифровым следам, привела к арестам — и показала, что терпение иногда эффективнее громких облав.