TeamPCPサプライチェーン攻撃の全貌：FBI警告、Vectランサムウェアとの提携、そして今すぐ取るべき対策

2026年3月19日から27日にかけて、脅威アクター「TeamPCP」は、セキュリティ研究者が「記録上最大級のCI/CDサプライチェーン攻撃の一つ」と呼ぶ作戦を実行しました^IS。攻撃者は、相次ぐツール侵害で盗み出した認証情報を使い、5つのパッケージエコシステムを横断。1,000以上のエンタープライズクラウド環境を侵害し、さらにVectランサムウェア運営組織と正式に提携し、盗んだアクセス権を身代金要求に利用しました^H。2026年7月2日、FBIサイバー部門はこのキャンペーンに関する緊急FLASH警告を発令し、具体的な緩和策を提示しました^IS。本記事では、FBI警告、Sophosの調査、攻撃チェーン全体を含む入手可能なインテリジェンスから得られた主要な知見を総合します。

攻撃チェーン：TeamPCPはいかにして開発者ツールを侵害したか

TeamPCP（Google脅威インテリジェンスグループによってUNC6780として追跡、DeadCatx3、PCPcat、ShellForceなどの別名も使用）は、不完全にローテートされた1つのGitHub個人アクセストークンから攻撃を開始しました^JG。

認証情報収集の連鎖

• 3月19日 — Aqua SecurityのTrivy: 最初の侵害。TeamPCPはTrivyのGitHub ActionsとDocker Hub署名キーへのアクセスを獲得し、76個のTrivy-actionバージョンタグのうち75個に悪意のあるコードを強制プッシュし、GitHub ReleasesとDocker Hubにポイズニングされたバイナリを公開しました^ISG。これはCVE-2026-33634（CVSSスコア9.4）として割り当てられました^G。

• 3月20日 — BerriAIのLiteLLM: Trivyパイプラインから盗んだ認証情報を使用し、TeamPCPは100以上のLLM APIへのアクセスに使われるAIゲートウェイツールであるLiteLLMの悪意のあるバージョンをPyPIとNPMにプッシュしました^ISD。

• 3月27日 — Telnyx PyPI: TeamPCPはTelnyx Python SDKの悪意のあるバージョン（4.87.1および4.87.2）を公開しました^IL。

• 4月22日 — Checkmarx KICSとBitwarden CLI: 後の波ではCheckmarxのKICSセキュリティスキャナーとBitwardenのCLIが数時間以内に標的にされ、同一のC2インフラストラクチャを共有していました^AS。TrendMicroはこれらがより広範なTeamPCPキャンペーンの一部であることを確認しました^T。

エコシステムの連鎖（6日間）

6日以内に、攻撃は以下のエコシステム全体に広がりました：

• GitHub Actions — ポイズニングされたCI/CDワークフローがトークンと署名キーを窃取
• Docker Hub — 侵害されたアカウントを介して悪意のあるコンテナイメージがプッシュ
• PyPI — 悪意のあるLiteLLMおよびTelnyxパッケージ
• NPM — 感染したパッケージ
• OpenVSX（VS Code拡張機能マーケットプレイス） — ポイズニングされた拡張機能

これは後に、エコシステムの境界を自律的に越える最初の文書化された自己増殖型サプライチェーンワームとして特徴づけられました^L。

影響の規模

• 1,000を超えるエンタープライズクラウド環境が侵害されました（Vect身代金要求フェーズに関するHalcyonの報告による）^H。Mandiantは5,000～10,000への成長を予測しています^M。
• Trivy/LiteLLMパイプラインだけでも約340GBの非圧縮データが窃取されました^S。
• キャンペーン全体で約50万の認証情報が収集されました^T。

FBI FLASH警告（2026年7月2日）

2026年7月2日、FBIサイバー部門は緊急警告を発令し（7月3日にスペインメディアが報じた）、TeamPCPが開発環境に侵入し、クラウドアクセストークン、SSHキー、Kubernetesシークレットを不正に持ち出したことを確認しました^ISL。

FBIの具体的な緩和策の推奨

警告に基づき、FBIは組織に対して以下を推奨しました：

• ビルド/デプロイパイプラインの監査：3月19日～24日に使用された侵害されたツールバージョンを確認。それらの環境でアクセス可能だった認証情報はすべて盗まれたと想定すること^S
• すべての認証情報のローテーション：暴露された可能性のあるものすべて^S
• GitHub Actionsワークフローの完全なコミットSHAへの固定：タグやブランチではなく、検証済みハッシュを使用^S
• 最小権限のCI/CD権限の enforced：ワークフローがアクセスできるトークンとシークレットを制限^S
• フィッシング耐性MFAの実装（例：FIDO2/WebAuthn）^S
• すべてのクラウドトークン、SSHキー、Kubernetesシークレットの即時ローテーション^S
• 不審なリポジトリの検索：攻撃者がステージングに使用した"tpcp-docs"または"docs-tpcp"という名前のリポジトリを確認^S

警告はまた、すでに不正に持ち出されたデータと認証情報は持続的なリスクと見なされるべきであると述べています^S。

Vectランサムウェアとの提携

正式な運用提携（2026年3月下旬）

• 2026年3月26日～27日 — TeamPCPは、2025年12月に初めて出現したVectランサムウェア・アズ・ア・サービス（RaaS） 運営と正式に提携しました^III。
• この提携はダークウェブフォーラム「Breached」で発表されました^S。
• Vectは直ちにTeamPCPの盗んだ認証情報アクセスを二重脅迫ランサムウェア（被害者を暗号化し、盗んだデータを公開する）に使い始めました^FH。
• Trivy侵害からの最初の名前付き被害者データは、2026年4月中旬にVectによって公開されました^H。

BreachForumsとの追加提携（2026年4月16日～18日）

• 2026年4月16日～18日頃、VectはさらにBreachForumsサイバー犯罪マーケットプレイスと提携しました^DH。
• この合意の下、約30万人の登録BreachForumsユーザー全員にVectアフィリエイトキーへのアクセスが与えられ、ランサムウェア運営者の基盤が大幅に拡大しました^FD。
• Dataminr Intel Briefはこの収束を「前例のないアフィリエイト動員」と表現しました^D。

Sophosの調査（2026年4月24日）

Sophos X-Opsは2026年4月24日に調査結果を公開し、Checkmarx KICSとBitwarden CLIの侵害がTeamPCPキャンペーンの一部であることを文書化しました^S。主な発見：

• 両方のツールが2026年4月22日に数時間以内に乗っ取られました
• これらは同一のC2ドメインを共有しており、同一の脅威アクターにリンクされています
• 攻撃は信頼されたCI/CDリリースワークフローを悪用し、大規模に認証情報を窃取しました^S

TeamPCPとThe Comコレクティブとの関連

検索結果では、TeamPCPをThe Comコレクティブに直接結びつける証拠は見つかりませんでした。TeamPCPはLAPSUS$データ販売パイプラインとの関連が指摘されており、独自のCipherForceランサムウェアトラックを運営していますが、Com固有のリンクは入手可能な情報源では見つかりませんでした^R。

防御側の重要ポイント

TeamPCPキャンペーンは、クラウドセキュリティにおける転換点を示しています。攻撃者はもはや防御を回避しているのではなく、防御を武器化しているのです。防御側の重要ポイントは以下の通りです：

1. CI/CDパイプラインを重要な攻撃対象領域として扱う — すべてのワークフロー権限を監査し、コミットSHA固定を採用する
2. 侵害されたツールが実行された場合は認証情報が露出したと想定する — すべてのシークレットを直ちにローテーションする
3. フィッシング耐性MFAに投資する — FIDO2/WebAuthnは、トークンが盗まれても後続のアクセスを防ぐことができる
4. tpcp-docsまたはdocs-tpcpという名前のステージングリポジトリを監視する
5. 運用提携モデルに備える — 初期アクセスブローカーが現在、正式にランサムウェアアフィリエイトとチームを組んでいる