Dua Pria Australia Didakwa dalam Kasus Serangan Rantai Pasok Software TeamPCP

Dua pria Australia Barat telah didakwa atas dugaan keterlibatan mereka dalam TeamPCP, kelompok kejahatan siber yang dituduh menyusupi perangkat lunak open-source tepercaya dengan kode berbahaya. Penangkapan itu merupakan bagian dari operasi bersama Australian Federal Police (AFP), kepolisian Australia Barat, dan FBI pada 26 Agustus 2026. 7

Kasus ini penting karena metode yang dituduhkan menyasar perangkat lunak yang digunakan oleh pengembang lain. Artinya, organisasi dapat ikut terpapar hanya karena memakai alat atau paket yang telah disusupi. Namun, tidak semua detail yang beredar tentang para tersangka dan kelompok tersebut telah dikonfirmasi. Seluruh tuduhan masih harus diuji di pengadilan.

Siapa yang ditangkap?

AFP menyatakan petugas menangkap seorang pria berusia 21 tahun dari Cottesloe dan pria berusia 23 tahun dari Mandurah. Penangkapan dilakukan setelah surat perintah penggeledahan dijalankan di properti di Cottesloe, Hamilton Hill, dan Mandurah. Perangkat elektronik serta barang lain disita untuk pemeriksaan forensik. 7

Pemberitaan publik mengidentifikasi keduanya sebagai Ruben Ian Thomson dan Louis Michael Gaebler. Nama lengkap Gaebler penting dicantumkan, bukan hanya “Michael Gaebler”. Keduanya hadir, atau dijadwalkan hadir, di Perth Magistrates Court pada 27 Agustus. 37

AFP menyebut pemeriksaan forensik masih berlangsung dan tidak menutup kemungkinan adanya penangkapan atau dakwaan tambahan. Rilis tersebut tidak memberikan hasil yang terkonfirmasi mengenai status jaminan, sehingga keputusan bail tidak dapat dinyatakan sebagai fakta berdasarkan bukti yang tersedia saat ini.

Apa saja 14 dakwaannya?

Kedua pria itu menghadapi total 14 dakwaan. Menurut keterangan AFP:

• Thomson menghadapi delapan dakwaan: memiliki data untuk melakukan pelanggaran komputer; empat dakwaan modifikasi data tanpa izin dengan maksud melakukan pelanggaran serius; memasok data untuk melakukan pelanggaran komputer; tidak mematuhi perintah berdasarkan section 3LA; serta memperjualbelikan atau menangani sedikitnya 100.000 dolar Australia yang diduga berasal dari hasil kejahatan.
• Gaebler menghadapi enam dakwaan: memiliki data untuk melakukan pelanggaran komputer; empat dakwaan modifikasi data tanpa izin dengan maksud melakukan pelanggaran serius; serta memasok data untuk melakukan pelanggaran komputer. 7

Batas hukuman maksimum yang disebut AFP untuk dakwaan Thomson mencakup tiga tahun penjara untuk dakwaan kepemilikan atau pemasokan data, lima tahun untuk setiap dakwaan modifikasi data tanpa izin, 10 tahun karena tidak mematuhi perintah section 3LA, dan 20 tahun untuk dakwaan terkait hasil kejahatan. Dakwaan kepemilikan, pemasokan, dan modifikasi data yang dihadapi Gaebler memiliki batas maksimum yang sesuai. 7

Angka tersebut merupakan hukuman maksimum berdasarkan undang-undang untuk masing-masing pelanggaran. Angka itu bukan prediksi hukuman yang akan diterima para terdakwa, bukan berarti seluruh hukuman otomatis dijumlahkan, dan bukan bukti bahwa mereka pasti akan dinyatakan bersalah. Keduanya tetap dianggap tidak bersalah sampai terbukti bersalah.

Bagaimana modus kampanye TeamPCP?

AFP menuduh sindikat tersebut menyisipkan kode berbahaya ke dalam perangkat lunak di repositori open-source. Pengembang dan organisasi kemudian menggunakan alat yang telah diubah itu tanpa selalu mengetahui bahwa perangkat lunaknya telah disusupi. Dari sana, penyerang diduga dapat menjangkau sistem organisasi lain dan mengambil informasi sensitif. 7

Menurut polisi, kampanye tersebut berpotensi:

• membahayakan lebih dari 1.000 organisasi di seluruh dunia;
• memungkinkan pencurian lebih dari 500.000 kredensial;
• menyebabkan sedikitnya 300 gigabita data diekstraksi; dan
• menimbulkan biaya pemulihan yang mencapai ratusan juta dolar. 7

Angka-angka ini merupakan perkiraan penyelidikan dan tuduhan, bukan penghitungan final mengenai jumlah korban atau total kerugian yang telah dikonfirmasi. Laporan keamanan terpisah mengaitkan TeamPCP dengan penyusupan terhadap Trivy, Checkmarx KICS, dan LiteLLM. Laporan lain juga menyebut dugaan dampak terhadap organisasi seperti Mercor dan infrastruktur terkait GitHub. 36

Apakah Komisi Eropa ikut terdampak?

Bukti mengenai kaitan dengan Komisi Eropa lebih kuat daripada sekadar dugaan “kemungkinan terdampak”. CERT-EU menyatakan dengan tingkat keyakinan tinggi bahwa akses awal ke lingkungan cloud terkait Komisi Eropa diperoleh melalui kompromi rantai pasok Trivy, yang sebelumnya telah dikaitkan secara publik dengan TeamPCP. CERT-EU juga melaporkan bahwa sejumlah besar data berhasil diekstraksi. 23

Temuan itu menunjukkan adanya hubungan yang dilaporkan antara kompromi Trivy dan insiden cloud Komisi Eropa. Namun, hal tersebut tidak dengan sendirinya membuktikan setiap tuduhan mengenai keterlibatan pribadi para terdakwa Australia dalam insiden tersebut.

Klaim apa yang masih belum terverifikasi?

Sejumlah detail dalam laporan awal dan diskusi online perlu diperlakukan dengan hati-hati, antara lain:

• Thomson menggunakan alias “Ellis”;
• Thomson memimpin TeamPCP hingga Maret 2026;
• Thomson secara pribadi memperoleh sekitar 20.000 dolar AS;
• TeamPCP merupakan komunitas sesama anggota dengan satu figur sentral, bukan organisasi dengan struktur hierarkis formal; dan
• kelompok tersebut menciptakan worm Shai-Hulud yang asli.

Riset keamanan mengaitkan TeamPCP dengan gelombang penyebaran yang disebut “Mini Shai-Hulud”. Namun, hal itu tidak sama dengan bukti bahwa TeamPCP menciptakan malware Shai-Hulud asli. Begitu pula, penilaian bahwa kelompok tersebut kurang canggih secara teknis atau terutama mengandalkan eksploit publik dan ide malware yang dengan cepat digunakan kembali merupakan analisis, bukan temuan dalam pengumuman dakwaan AFP. 3

Sejumlah media menyebut Thomson sebagai pemimpin atau peserta utama. Namun, materi berotoritas tinggi yang tersedia belum menetapkan seluruh klaim rinci mengenai identitas, struktur organisasi, dan keuangan kelompok tersebut. Detail itu mungkin menjadi lebih jelas melalui dokumen dakwaan, persidangan, atau pengumuman penyelidikan berikutnya.

Apa yang terjadi selanjutnya?

Langkah terdekat adalah pemeriksaan forensik terhadap perangkat dan barang lain yang disita dalam penggeledahan. AFP menyatakan proses tersebut masih berlangsung dan penangkapan atau dakwaan tambahan masih mungkin dilakukan. 7

Untuk saat ini, fakta yang telah dikonfirmasi lebih terbatas dibandingkan gambaran paling luas mengenai kasus tersebut: dua pria telah didakwa atas total 14 pelanggaran dalam penyelidikan gabungan Australia-Amerika Serikat terhadap kampanye besar serangan rantai pasok software. Skala dampak yang dituduhkan memang besar, tetapi persoalan mengenai kepemimpinan pribadi, alias, uang, dan struktur TeamPCP masih belum terselesaikan.