TeamPCP गिरफ्तारी से सामने आई कथित वैश्विक सॉफ्टवेयर सप्लाई-चेन साजिश

ऑस्ट्रेलियाई संघीय पुलिस (AFP) के अनुसार, पश्चिमी ऑस्ट्रेलिया के दो युवकों पर TeamPCP नामक साइबर अपराध समूह में कथित भूमिका को लेकर कुल 14 आरोप लगाए गए हैं। यह कार्रवाई AFP, पश्चिमी ऑस्ट्रेलिया पुलिस बल और अमेरिकी FBI की संयुक्त जांच के बाद 26 अगस्त 2026 को हुई। 7

मामला इसलिए अहम है क्योंकि कथित अभियान ने सीधे कंपनियों को निशाना बनाने के बजाय डेवलपरों और संगठनों द्वारा भरोसे से इस्तेमाल किए जाने वाले खुले स्रोत (open-source) सॉफ्टवेयर को संक्रमित किया। यानी किसी संस्था का सिस्टम केवल इसलिए जोखिम में आ सकता था क्योंकि उसने बदले हुए टूल या पैकेज का इस्तेमाल किया। फिर भी, आरोपों की सुनवाई अदालत में बाकी है और संदिग्धों या समूह के बारे में ऑनलाइन प्रसारित हर दावा आधिकारिक रूप से पुष्ट नहीं है।

किन लोगों को गिरफ्तार किया गया?

AFP ने बताया कि अधिकारियों ने कॉटेस्लो के 21 वर्षीय व्यक्ति और मंडुरा के 23 वर्षीय व्यक्ति को गिरफ्तार किया। इसके लिए कॉटेस्लो, हैमिल्टन हिल और मंडुरा स्थित संपत्तियों पर तलाशी वारंट लागू किए गए। इलेक्ट्रॉनिक उपकरण और अन्य सामग्री जब्त कर फॉरेंसिक जांच के लिए भेजी गई। 7

सार्वजनिक रिपोर्टिंग में दोनों की पहचान रूबेन इयान थॉमसन और लुई माइकल गेबलर के रूप में की गई है। जहां पूरा नाम प्रासंगिक हो, वहां गेबलर को केवल “माइकल गेबलर” कहना उपलब्ध रिपोर्टिंग के अनुरूप नहीं होगा। दोनों 27 अगस्त को पर्थ मजिस्ट्रेट्स कोर्ट में पेश हुए या पेश होने वाले थे। 37

AFP ने कहा है कि जब्त सामग्री की फॉरेंसिक जांच जारी है और आगे और गिरफ्तारियां या आरोप संभव हैं। उपलब्ध आधिकारिक जानकारी में जमानत के नतीजों की पुष्टि नहीं है, इसलिए उन्हें तथ्य के रूप में नहीं बताया जा सकता।

14 आरोपों में क्या शामिल है?

दोनों पर मिलाकर 14 कथित अपराध लगाए गए हैं। AFP के विवरण के अनुसार:

• थॉमसन पर आठ आरोप: कंप्यूटर अपराध के लिए डेटा रखने का आरोप; गंभीर अपराध करने के इरादे से अनधिकृत डेटा संशोधन के चार आरोप; कंप्यूटर अपराध के लिए डेटा की आपूर्ति; धारा 3LA के आदेश का पालन न करना; और कम-से-कम 100,000 ऑस्ट्रेलियाई डॉलर की कथित अपराध-आय से लेन-देन।
• गेबलर पर छह आरोप: कंप्यूटर अपराध के लिए डेटा रखना; गंभीर अपराध करने के इरादे से अनधिकृत डेटा संशोधन के चार आरोप; और कंप्यूटर अपराध के लिए डेटा की आपूर्ति। 7

AFP द्वारा बताए गए वैधानिक अधिकतम दंडों में थॉमसन के डेटा रखने या आपूर्ति करने वाले अपराधों के लिए तीन वर्ष, प्रत्येक अनधिकृत संशोधन आरोप के लिए पांच वर्ष, धारा 3LA आदेश का पालन न करने के लिए 10 वर्ष और कथित अपराध-आय वाले आरोप के लिए 20 वर्ष तक की सजा शामिल है। गेबलर पर लगे संबंधित डेटा और संशोधन आरोपों के लिए भी तीन और पांच वर्ष तक के अधिकतम दंड बताए गए हैं। 7

ये अलग-अलग अपराधों से जुड़े वैधानिक अधिकतम दंड हैं। इसका अर्थ यह नहीं है कि दोनों को इतनी ही सजा मिलेगी, सभी अवधि अपने-आप जुड़ जाएंगी या दोषसिद्धि निश्चित है। अदालत में दोष साबित होने तक दोनों निर्दोष माने जाते हैं।

TeamPCP के अभियान को लेकर पुलिस का आरोप क्या है?

AFP का आरोप है कि इस साइबर अपराध समूह ने खुले स्रोत वाले रिपॉजिटरी सॉफ्टवेयर में दुर्भावनापूर्ण कोड डाला। डेवलपर और संगठन इन बदले हुए टूल का इस्तेमाल करते रहे, जबकि उन्हें जरूरी नहीं था कि सॉफ्टवेयर में छेड़छाड़ की जानकारी हो। इससे हमलावर downstream यानी उन सॉफ्टवेयर पर निर्भर अन्य प्रणालियों तक पहुंच बना सकते थे और संवेदनशील जानकारी चुरा सकते थे। 7

पुलिस के अनुसार, इस अभियान से संभावित रूप से:

• दुनिया भर में 1,000 से अधिक संगठन प्रभावित हुए;
• 5,00,000 से अधिक क्रेडेंशियल चोरी किए गए;
• कम-से-कम 300 गीगाबाइट डेटा बाहर निकाला गया; और
• सुरक्षा सुधार तथा सिस्टम बहाली की लागत सैकड़ों मिलियन डॉलर तक पहुंची। 7

ये जांच के दौरान लगाए गए अनुमान और आरोप हैं, प्रभावित संस्थाओं या वास्तविक नुकसान का अंतिम हिसाब नहीं। स्वतंत्र सुरक्षा रिपोर्टों ने TeamPCP को Trivy, Checkmarx KICS और LiteLLM से जुड़े समझौतों से जोड़ा है। अन्य रिपोर्टों में Mercor और GitHub से जुड़े इन्फ्रास्ट्रक्चर पर कथित प्रभाव का भी उल्लेख है। 36

क्या यूरोपीय आयोग भी प्रभावित हुआ था?

यूरोपीय आयोग से जुड़े मामले में केवल “संभावित प्रभाव” कहने से अधिक मजबूत आधार उपलब्ध है। CERT-EU ने कहा कि उसे उच्च स्तर का भरोसा है कि आयोग से जुड़े क्लाउड वातावरण में शुरुआती प्रवेश Trivy सप्लाई-चेन समझौते के जरिए हुआ था, जिसे सार्वजनिक रूप से TeamPCP से जोड़ा गया था। CERT-EU ने यह भी बताया कि बड़ी मात्रा में डेटा बाहर निकाला गया। 23

इससे Trivy समझौते और यूरोपीय आयोग के क्लाउड हादसे के बीच रिपोर्ट किया गया संबंध स्थापित होता है। लेकिन इससे अपने-आप यह साबित नहीं होता कि ऑस्ट्रेलिया में आरोपित दोनों लोगों की उस विशेष घटना में व्यक्तिगत भूमिका थी।

कौन-से दावे अभी अपुष्ट हैं?

शुरुआती रिपोर्टों और ऑनलाइन चर्चाओं में किए गए कुछ विशिष्ट दावों को सावधानी से देखना चाहिए:

• थॉमसन ने “Ellis” उपनाम इस्तेमाल किया;
• वह मार्च 2026 तक TeamPCP का नेता था;
• उसने व्यक्तिगत रूप से लगभग 20,000 डॉलर कमाए;
• TeamPCP औपचारिक पदानुक्रम के बजाय एक केंद्रीय व्यक्ति वाले सहकर्मी समुदाय के रूप में काम करता था; और
• समूह ने मूल Shai-Hulud वर्म बनाया था।

सुरक्षा शोध ने TeamPCP को “Mini Shai-Hulud” नाम से वर्णित प्रसार अभियान से जोड़ा है। लेकिन इससे यह साबित नहीं होता कि TeamPCP ने मूल Shai-Hulud मैलवेयर बनाया था। इसी तरह, समूह को तकनीकी रूप से कम सक्षम बताना या यह कहना कि उसने सार्वजनिक रूप से उपलब्ध एक्सप्लॉइट और मैलवेयर विचारों को तेजी से दोबारा इस्तेमाल किया, विश्लेषण है—AFP की चार्जिंग घोषणा में दर्ज निष्कर्ष नहीं। 3

कुछ मीडिया रिपोर्टों में थॉमसन को नेता या प्रमुख भागीदार बताया गया है, लेकिन उपलब्ध उच्च-विश्वसनीयता वाली सामग्री पहचान, संगठनात्मक ढांचे और धन से जुड़े सभी विस्तृत दावों की पुष्टि नहीं करती। चार्जशीट, अदालत की कार्यवाही या आगे की जांच से तस्वीर स्पष्ट हो सकती है।

अब आगे क्या होगा?

तत्काल अगला कदम तलाशी में जब्त उपकरणों और अन्य सामग्री का फॉरेंसिक विश्लेषण है। AFP ने कहा है कि यह काम जारी है और अतिरिक्त गिरफ्तारियों या आरोपों की संभावना से इनकार नहीं किया गया है। 7

फिलहाल पुष्ट तस्वीर व्यापक ऑनलाइन दावों से कुछ संकरी है: दो लोगों पर 14 कथित अपराधों में आरोप लगाए गए हैं और यह कार्रवाई एक बड़े सॉफ्टवेयर सप्लाई-चेन अभियान की ऑस्ट्रेलिया-अमेरिका संयुक्त जांच का हिस्सा है। कथित प्रभाव का पैमाना बड़ा है, लेकिन नेतृत्व, उपनाम, कमाई और समूह की वास्तविक संरचना जैसे सवाल अभी अनसुलझे हैं।