توقيف رجلين في أستراليا على خلفية هجمات إلكترونية استهدفت برمجيات مفتوحة المصدر

ما الذي حدث في 26 أغسطس؟

أعلنت الشرطة الفيدرالية الأسترالية، بالتعاون مع شرطة أستراليا الغربية وبمساعدة مكتب التحقيقات الفيدرالي الأميركي، توقيف رجلين من غرب أستراليا على خلفية الاشتباه في ضلوعهما في نشاط مجموعة الجرائم الإلكترونية TeamPCP.

جاءت التوقيفات بعد تنفيذ أوامر تفتيش في عقارات تقع في كوتسلو وهاملتون هيل وماندورا. وصادرت السلطات أجهزة إلكترونية ومواد أخرى، وأحالتها إلى الفحص الجنائي الرقمي. 7

وتبقى القضية في مرحلة الاتهام والتحقيق؛ فالتوقيف أو توجيه التهم لا يمثل حكمًا بالإدانة.

من هما المتهمان؟

تُعرّف التقارير العلنية الرجلين بأنهما روبن إيان تومسون، البالغ 21 عامًا والمقيم في كوتسلو، ولويس مايكل غايبلر، البالغ 23 عامًا والمقيم في ماندورا. لذلك فإن اسم غايبلر الكامل الوارد في التقارير هو «لويس مايكل غايبلر»، وليس «مايكل غايبلر» بوصفه اسمًا مستقلًا.

وكان من المقرر أن يمثل الرجلان أمام محكمة الصلح في بيرث في 27 أغسطس. لكن بيان الشرطة الفيدرالية لا يوضح قرارات الإفراج بكفالة، ولذلك لا يمكن تأكيد نتيجة جلسة الكفالة استنادًا إلى المواد المتاحة. 7

ما التهم الموجهة إليهما؟

يواجه تومسون ثماني تهم، من بينها:

• حيازة بيانات بقصد ارتكاب جريمة حاسوبية، وتصل عقوبتها القصوى النظامية إلى ثلاث سنوات؛
• أربع تهم بالتعديل غير المصرح به للبيانات بقصد ارتكاب جريمة خطيرة، بحد أقصى يصل إلى خمس سنوات لكل تهمة؛
• توريد بيانات بقصد ارتكاب جريمة حاسوبية، بحد أقصى يبلغ ثلاث سنوات؛
• عدم الامتثال لأمر صادر بموجب المادة 3LA، وتصل عقوبته القصوى إلى عشر سنوات؛
• التعامل مع عائدات يُزعم أنها متحصلة من الجريمة وتبلغ 100 ألف دولار أسترالي على الأقل، بحد أقصى يصل إلى 20 سنة.

أما غايبلر فيواجه ست تهم: حيازة بيانات، وأربع تهم تتعلق بالتعديل غير المصرح به للبيانات، وتوريد بيانات بقصد ارتكاب جريمة حاسوبية. وتتراوح الحدود القصوى النظامية ذات الصلة بين ثلاث وخمس سنوات بحسب نوع التهمة. 7

هذه الحدود القصوى لا تعني بالضرورة أنها تُجمع تلقائيًا، ولا تعني أنها العقوبات التي سيحصل عليها أي من الرجلين إذا ثبتت إدانته.

ما طبيعة الهجمات المزعومة؟

تقول الشرطة الفيدرالية إن المجموعة المشتبه بها أدخلت شيفرة خبيثة إلى برمجيات منشورة ضمن مشاريع مفتوحة المصدر، ثم استخدم مطورون آخرون تلك البرمجيات من دون علمهم بوجود التلاعب.

وبحسب ادعاء الشرطة، كان من شأن الحملة أن تعرض أكثر من ألف مؤسسة حول العالم للاختراق، وأن تتيح سرقة أكثر من 500 ألف معلومة اعتماد واستخراج ما لا يقل عن 300 غيغابايت من البيانات. كما قالت إن تكاليف المعالجة والاستجابة للأضرار قد تصل إلى مئات الملايين من الدولارات. 7

وفي هجمات «سلسلة توريد البرمجيات»، لا يستهدف المهاجم المؤسسة مباشرة بالضرورة، بل يحاول اختراق أداة أو مكتبة موثوقة تستخدمها مؤسسات ومطورون كثر. وبذلك يمكن أن ينتقل الخطر إلى عدد كبير من المستخدمين عبر تحديث أو مكوّن برمجي واحد.

ما المشاريع والضحايا المرتبطون بالقضية؟

تنسب تقارير أمنية مستقلة إلى TeamPCP عمليات اختراق طالت مشاريع Trivy وCheckmarx KICS وLiteLLM، كما تتحدث تقارير أخرى عن أهداف مزعومة، من بينها Mercor وبنية تحتية مرتبطة بـGitHub. 36

وفي واقعة منفصلة ذات صلة بسلسلة توريد Trivy، أكدت هيئة CERT-EU أن المفوضية الأوروبية أبلغت عن حادث كبير في بيئتها السحابية. وهذا يجعل أثر الحادث مؤكدًا بدرجة أقوى من مجرد احتمال نظري، إذ قالت الهيئة إن الوصول الأولي حصل عبر اختراق سلسلة توريد Trivy ونُسب علنًا إلى جهة التهديد TeamPCP. 1

ما الذي لم يُثبت بعد؟

رغم ورود تفاصيل إضافية في بعض التغطيات والتحليلات، لا تكفي الأدلة الأعلى موثوقية المتاحة حاليًا لتأكيد أن:

• تومسون استخدم الاسم المستعار «إليس»؛
• تومسون قاد TeamPCP حتى مارس 2026؛
• حصل شخصيًا على نحو 20 ألف دولار؛
• كانت المجموعة تعمل بوصفها تجمعًا أفقيًا يقوده شخص مركزي، بدلًا من هيكل هرمي.

ينبغي التعامل مع هذه النقاط باعتبارها نسبًا غير مؤكدة إلى أن تدعمها وثائق الاتهام أو أدلة مشفوعة بالقسم.

ماذا عن «شاي-هولود»؟

تربط أبحاث أمنية TeamPCP بموجة انتشار سُمّيت «Mini Shai-Hulud»، لكن المواد المتاحة لا تثبت، بالدرجة اللازمة لصياغة جازمة، أن المجموعة أنشأت دودة Shai-Hulud الأصلية.

كما أن القول إن المجموعة كانت تعتمد أساسًا على إعادة توظيف سريعة لثغرات وأفكار برمجيات خبيثة منشورة، مع امتلاكها قدرات تقنية محدودة، يُعد تحليلًا من باحثين أو مراقبين، وليس نتيجة معلنة من الشرطة الفيدرالية الأسترالية. 3

ما الخطوة التالية؟

قالت الشرطة الفيدرالية إن فحص البيانات والأجهزة المصادرة لا يزال مستمرًا، ولم تستبعد توقيف أشخاص إضافيين أو توجيه اتهامات جديدة. 7 وحتى اكتمال الإجراءات القضائية وظهور أدلة قابلة للاختبار أمام المحكمة، تظل تفاصيل الدور الفردي لكل متهم، وحجم الأضرار النهائي، وبعض مزاعم القيادة والعوائد المالية، غير محسومة.