Dos jóvenes australianos, acusados de participar en una campaña global de ataques a la cadena de suministro

Las detenciones y los cargos están confirmados, pero varias afirmaciones más específicas —como el supuesto liderazgo de Ruben Thomson, el uso del alias «Ellis», sus posibles ganancias y la estructura interna de TeamPCP— todavía no han sido establecidas por la Policía Federal Australiana (AFP) ni por el material de mayor autoridad disponible. Se trata de acusaciones, no de condenas.

Qué ocurrió el 26 de agosto

La AFP y la Policía de Australia Occidental, con apoyo del FBI estadounidense, detuvieron a dos hombres después de ejecutar órdenes de registro en propiedades de Cottesloe, Hamilton Hill y Mandurah. Las autoridades incautaron dispositivos electrónicos y otros materiales que serán sometidos a análisis forense. La investigación continúa. 7

Los detenidos fueron identificados en la cobertura pública como Ruben Ian Thomson, de 21 años, residente de Cottesloe, y Louis Michael Gaebler, de 23 años, residente de Mandurah. Por tanto, el nombre completo publicado para el segundo acusado es Louis Michael Gaebler, no simplemente «Michael Gaebler». Ambos estaban citados ante el Tribunal de Magistrados de Perth el 27 de agosto. La comunicación de la AFP no confirma las decisiones sobre su libertad bajo fianza, por lo que ese punto sigue sin estar verificado. 7

Los cargos que afrontan

Thomson enfrenta ocho cargos:

• posesión de datos para cometer un delito informático, con una pena máxima legal de tres años;
• cuatro cargos de modificación no autorizada de datos con intención de cometer un delito grave, con un máximo de cinco años por cargo;
• suministro de datos para cometer un delito informático, con un máximo de tres años;
• incumplimiento de una orden emitida al amparo de la sección 3LA, con un máximo de 10 años; y
• manejo de al menos 100.000 dólares australianos en presuntas ganancias del delito, con un máximo de 20 años.

Gaebler enfrenta seis cargos: uno por posesión de datos, cuatro por presunta modificación no autorizada de datos y uno por suministro de datos. En su caso, los máximos legales correspondientes son de tres y cinco años, según el tipo de acusación. 7

Estas penas máximas no necesariamente se acumulan de forma automática ni representan la condena que recibiría cualquiera de los acusados si finalmente fuera declarado culpable.

Cómo habría funcionado la campaña

Según la AFP, el grupo habría insertado código malicioso en software distribuido a través de repositorios de código abierto. Otros desarrolladores y organizaciones podían incorporar después esas herramientas sin saber que habían sido manipuladas.

La policía sostiene que la campaña pudo comprometer a más de 1.000 organizaciones en todo el mundo, facilitar el robo de más de 500.000 credenciales y permitir la extracción de al menos 300 gigabytes de datos. También calcula que los costes de respuesta y remediación han alcanzado cientos de millones de dólares. Estas cifras forman parte de las alegaciones de la investigación. 7

Proyectos y víctimas mencionados en los informes

Informes independientes de seguridad han vinculado a TeamPCP con compromisos de la cadena de suministro que afectaron a Trivy, Checkmarx KICS y LiteLLM. También han descrito otros objetivos presuntos, entre ellos Mercor e infraestructura relacionada con GitHub. 36

En un caso documentado por separado, CERT-EU confirmó que la Comisión Europea notificó un incidente significativo en la nube relacionado con el compromiso de la cadena de suministro de Trivy. El organismo evaluó con un alto grado de confianza que el acceso inicial se obtuvo a través de ese incidente, atribuido públicamente a un actor conocido como TeamPCP. Esto constituye una conexión documentada, no solo un posible impacto especulativo. 1

Lo que todavía no está probado

No encontré pruebas de suficiente autoridad para confirmar que Thomson utilizara el alias «Ellis», que dirigiera TeamPCP hasta marzo de 2026 o que obtuviera personalmente unos 20.000 dólares. Tampoco está establecido que el grupo funcionara específicamente como un colectivo entre pares con una única figura central, en lugar de una estructura jerárquica.

La investigación de seguridad también ha relacionado a TeamPCP con una oleada de propagación denominada «Mini Shai-Hulud». Sin embargo, el material disponible no permite afirmar de forma concluyente que el grupo creara el gusano original Shai-Hulud. Del mismo modo, la idea de que sus integrantes se limitaban principalmente a reutilizar con rapidez exploits y malware públicos, sin una gran sofisticación técnica, es una interpretación analítica y no un hallazgo de la AFP. 3

Qué puede ocurrir ahora

La AFP indicó que el análisis forense de los dispositivos incautados sigue en curso y que no descarta nuevas detenciones ni cargos adicionales. 7 Hasta que avancen las actuaciones judiciales, las afirmaciones sobre la identidad operativa de TeamPCP, su liderazgo y el alcance exacto de la responsabilidad de cada acusado deben considerarse presuntas.