Qué revelan las detenciones de TeamPCP sobre el presunto ataque global a la cadena de suministro

La Policía Federal Australiana (AFP) acusa a dos hombres de Australia Occidental de participar presuntamente en TeamPCP, un grupo de ciberdelincuencia al que se atribuye la introducción de código malicioso en software de código abierto. Las detenciones fueron fruto de una operación conjunta de la AFP, la Policía de Australia Occidental y el FBI el 26 de agosto de 2026. 7

El caso destaca por el método atribuido al grupo: en lugar de atacar únicamente a una empresa concreta, habría manipulado herramientas utilizadas por otros desarrolladores. Así, las organizaciones podían quedar expuestas simplemente al instalar un paquete o ejecutar una herramienta comprometida. Aun así, las acusaciones todavía no han sido examinadas en un juicio y el registro público no confirma todos los detalles difundidos sobre los sospechosos o el grupo.

Quiénes fueron detenidos

La AFP informó de la detención de un hombre de 21 años de Cottesloe y otro de 23 años de Mandurah, después de ejecutar órdenes de registro en propiedades de Cottesloe, Hamilton Hill y Mandurah. Los agentes incautaron dispositivos electrónicos y otros materiales para someterlos a análisis forense. 7

La información publicada por varios medios identifica a los detenidos como Ruben Ian Thomson y Louis Michael Gaebler. Cuando sea necesario utilizar su nombre completo, Gaebler no debería aparecer simplemente como «Michael Gaebler». Ambos comparecieron —o estaban citados para comparecer— ante el Tribunal de Magistrados de Perth el 27 de agosto. 37

La AFP señala que el análisis forense continúa y no descarta nuevas detenciones o cargos. El comunicado policial no confirma el resultado de las decisiones sobre libertad bajo fianza, por lo que esos datos no deben presentarse como hechos probados.

Los 14 cargos

Los dos hombres afrontan un total combinado de 14 delitos. Según la AFP:

• Thomson afronta ocho cargos: posesión de datos para cometer un delito informático; cuatro cargos de modificación no autorizada de datos con intención de cometer un delito grave; suministro de datos para cometer un delito informático; incumplimiento de una orden dictada en virtud del artículo 3LA; y manejo de al menos 100.000 dólares australianos en presuntos beneficios del delito.
• Gaebler afronta seis cargos: posesión de datos para cometer un delito informático; cuatro cargos de modificación no autorizada de datos con intención de cometer un delito grave; y suministro de datos para cometer un delito informático. 7

Las penas máximas citadas para los delitos de Thomson incluyen tres años por posesión o suministro de datos, cinco años por cada cargo de modificación no autorizada, diez años por incumplir la orden del artículo 3LA y 20 años por el supuesto delito relacionado con beneficios del crimen. A Gaebler se le aplican las penas máximas correspondientes a los cargos de posesión, suministro y modificación de datos. 7

Se trata de máximos legales asociados a delitos individuales. No significa que alguno de los acusados vaya a recibir esas penas, que todas deban sumarse automáticamente ni que vaya a producirse una condena. Ambos deben ser considerados inocentes mientras no se demuestre su culpabilidad.

Cómo habría operado la campaña de TeamPCP

La AFP sostiene que el grupo insertó código malicioso en software distribuido a través de repositorios de código abierto. Desarrolladores y organizaciones pudieron utilizar después esas herramientas sin saber que habían sido alteradas, lo que habría permitido a los atacantes acceder a sistemas posteriores y extraer información sensible. 7

La policía estima que la campaña pudo:

• comprometer a más de 1.000 organizaciones en todo el mundo;
• facilitar el robo de más de 500.000 credenciales;
• provocar la extracción de al menos 300 gigabytes de datos; y
• generar costes de recuperación de cientos de millones de dólares. 7

Son estimaciones de la investigación y acusaciones todavía pendientes de una contabilidad definitiva de víctimas y pérdidas. Informes independientes de seguridad han vinculado a TeamPCP con incidentes relacionados con Trivy, Checkmarx KICS y LiteLLM, además de describir posibles impactos en organizaciones como Mercor y en infraestructura relacionada con GitHub. 36

La conexión con la Comisión Europea

Existe una base más sólida para vincular el incidente de la Comisión Europea con el compromiso de Trivy que para describirlo simplemente como un impacto «posible». CERT-EU, el equipo de respuesta ante incidentes informáticos de las instituciones de la Unión Europea, afirmó que, con un alto grado de confianza, el acceso inicial al entorno cloud relacionado con la Comisión se obtuvo mediante el compromiso de la cadena de suministro de Trivy, atribuido públicamente a TeamPCP. CERT-EU también informó de la extracción de un volumen significativo de datos. 23

Esto respalda una conexión documentada entre el compromiso de Trivy y el incidente en la nube de la Comisión Europea. Sin embargo, por sí solo no demuestra que los acusados australianos estuvieran personalmente implicados en ese incidente.

Qué afirmaciones siguen sin estar verificadas

Varias afirmaciones difundidas en los primeros informes o en debates en internet deben tratarse con cautela. Entre ellas:

• que Thomson utilizara el alias «Ellis»;
• que dirigiera TeamPCP hasta marzo de 2026;
• que obtuviera personalmente unos 20.000 dólares;
• que TeamPCP fuera una comunidad de miembros con una figura central, en lugar de una estructura jerárquica formal; y
• que el grupo creara el gusano original Shai-Hulud.

Las investigaciones de seguridad han relacionado a TeamPCP con una ola de propagación denominada «Mini Shai-Hulud». Eso no demuestra que el grupo creara el malware original Shai-Hulud. Del mismo modo, afirmar que sus integrantes tenían una capacidad técnica limitada o que dependían sobre todo de adaptar rápidamente exploits y conceptos de malware disponibles públicamente es una interpretación analítica, no una conclusión del comunicado de cargos de la AFP. 3

Algunos medios describen a Thomson como líder o participante principal, pero el material de mayor autoridad disponible no confirma todos los detalles sobre su identidad, el funcionamiento de la organización o sus finanzas. Esas cuestiones podrían aclararse mediante los documentos de acusación, las vistas judiciales o nuevos anuncios de los investigadores.

Qué ocurrirá ahora

El siguiente paso inmediato será analizar forensemente los dispositivos y demás materiales incautados durante los registros. La AFP afirma que ese trabajo sigue en marcha y que aún podrían producirse nuevas detenciones o presentarse cargos adicionales. 7

Por ahora, el panorama confirmado es más limitado que las descripciones más amplias del caso: dos hombres han sido acusados de 14 presuntos delitos en una investigación conjunta entre Australia y Estados Unidos sobre una importante campaña contra la cadena de suministro de software. La escala del impacto alegado es considerable, pero siguen sin resolverse las preguntas sobre el liderazgo personal, los alias, el dinero y la estructura exacta de TeamPCP.