מעצרי TeamPCP באוסטרליה: מה ידוע על הפריצה לשרשרת האספקה?

המעצרים והאישומים נגד שני הגברים מאוסטרליה אושרו. עם זאת, פרטים רבים יותר — ובהם שאלת המנהיגות, הכינויים, ההכנסות ומבנה הפעילות של הקבוצה — עדיין אינם מוכחים במידע הרשמי הזמין. חשוב להדגיש: מדובר בטענות של הרשויות, ולא בקביעות אשמה.

מה קרה ב-26 באוגוסט?

המשטרה הפדרלית האוסטרלית (AFP), משטרת מערב אוסטרליה וה-FBI האמריקאי עצרו גבר בן 21 מקוטסלו וגבר בן 23 ממנדורה. המעצרים בוצעו לאחר חיפושים בנכסים בקוטסלו, בהמילטון היל ובמנדורה. החוקרים החרימו מכשירים אלקטרוניים וחומרים נוספים, שהועברו לבדיקה פורנזית. 7

מי הם החשודים ומה מצבם המשפטי?

הדיווחים הפומביים מזהים את השניים כרובן איאן תומסון, בן 21, ולואי מייקל גייבלר, בן 23 — ולא כ״מייקל גייבלר״ בלבד. השניים היו צפויים להתייצב בבית משפט השלום בפרת' ב-27 באוגוסט. בהודעת ה-AFP לא נמסרו החלטות בנוגע לשחרור בערבות, ולכן תוצאות הדיון בנושא אינן מאומתות על סמך החומר שנבדק. 7

האישומים והעונשים המרביים

נגד תומסון הוגשו שמונה סעיפי אישום:

• החזקת נתונים לצורך ביצוע עבירת מחשב — עונש מרבי של שלוש שנות מאסר;
• ארבעה סעיפים של שינוי נתונים ללא הרשאה מתוך כוונה לבצע עבירה חמורה — חמש שנות מאסר לכל סעיף;
• אספקת נתונים לצורך עבירת מחשב — עד שלוש שנות מאסר;
• אי-ציות לצו לפי סעיף 3LA — עד עשר שנות מאסר;
• טיפול בתמורה נטענת לעבירה פלילית בהיקף של לפחות 100 אלף דולר — עד 20 שנות מאסר.

גייבלר עומד בפני שישה סעיפים: החזקת נתונים, ארבעה סעיפים של שינוי נתונים ללא הרשאה ואספקת נתונים לצורך עבירת מחשב. העונשים המרביים הרלוונטיים הם שלוש וחמש שנות מאסר, בהתאם לסעיף.

העונשים המרביים בחוק אינם מצטברים בהכרח, ואינם מעידים על העונש שיוטל בפועל אם מי מהנאשמים יורשע. 7

מה היקף הקמפיין המיוחס ל-TeamPCP?

לפי ה-AFP, הקבוצה החדירה קוד זדוני לתוכנות במאגרי קוד פתוח — תוכנות שמפתחים וארגונים אחרים עשויים לשלב במערכות שלהם בלי לדעת שהן נפגעו. הרשויות טוענות כי הקוד עלול היה לסכן יותר מ-1,000 ארגונים ברחבי העולם, לאפשר גניבה של יותר מ-500,000 פרטי התחברות ולהוביל לחילוץ של לפחות 300 ג'יגה-בייט של מידע. עלויות ההתאוששות והטיפול באירועים נאמדות, לפי המשטרה, במאות מיליוני דולרים. 7

אילו פרויקטים נקשרו לפרשה?

דיווחי אבטחה עצמאיים קשרו את TeamPCP לפגיעות ב-Trivy, ב-Checkmarx KICS וב-LiteLLM. דיווחים נוספים תיארו יעדים נטענים אחרים, ובהם Mercor ותשתיות הקשורות ל-GitHub. 36

במקרה נפרד הקשור ל-Trivy, CERT-EU — הגוף של האיחוד האירופי המטפל באירועי סייבר — אישר כי הנציבות האירופית דיווחה על אירוע ענן משמעותי שנבע מפגיעה בשרשרת האספקה של התוכנה. לכן מדובר בהשפעה שתועדה על ידי גוף רשמי, ולא רק באפשרות תיאורטית. 1

מה עדיין לא הוכח?

נכון לעכשיו, לא נמצא בחומר הרשמי ברמת סמכות מספקת אישור לכך שתומסון השתמש בכינוי ״אליס״, הנהיג את TeamPCP עד מרץ 2026 או הרוויח בעצמו כ-20 אלף דולר. גם הטענה שהקבוצה פעלה כקולקטיב של עמיתים עם דמות מרכזית אחת, ולא במבנה היררכי, אינה מבוססת די הצורך.

ישנם מחקרים הקושרים את TeamPCP לגל הפצה שכונה ״Mini Shai-Hulud״. עם זאת, החומר הזמין אינו מאפשר לקבוע בוודאות שהקבוצה יצרה את תולעת Shai-Hulud המקורית. גם הטענה שהקבוצה הסתמכה בעיקר על אימוץ מהיר של חולשות וכלי נוזקה פומביים, תוך תחכום טכני מוגבל, היא פרשנות אנליטית — ולא ממצא של ה-AFP. 3

מה צפוי כעת?

ה-AFP מסרה כי בדיקת המידע שנתפס בחיפושים נמשכת. המשטרה לא שללה מעצרים או אישומים נוספים ככל שהחקירה תתקדם. 7