豪警察がTeamPCP関与を疑う2人を逮捕、確認された事実と未確認情報

逮捕と起訴そのものは確認されている。一方で、TeamPCP内での役割、別名、収益、運営形態、保釈の結果といった細部には、AFPの公表資料や現時点で確認できる信頼性の高い資料だけでは裏付けが足りない情報もある。以下はあくまで当局などによる主張であり、2人の有罪が確定したことを示すものではない。

逮捕と捜索で確認されていること

AFPと西オーストラリア州警察は、米連邦捜査局（FBI）の支援を受け、2026年8月26日に西オーストラリア州の男性2人を逮捕した。捜索はコテスロー、ハミルトンヒル、マンジュラにある物件で行われ、警察はフォレンジック解析のため電子機器などを押収した。7

公表された報道上の氏名は、コテスロー在住のルーベン・イアン・トムソン（21歳）と、マンジュラ在住のルイ・マイケル・ゲイブラー（23歳）だ。「マイケル・ゲイブラー」という表記だけでは、公開情報にある正式な氏名と一致しない可能性がある。

2人は8月27日にパース治安判事裁判所へ出廷する予定だった。AFPの発表では保釈の判断結果は示されておらず、今回確認できる資料からは、保釈されたのか拘束が続いているのかを断定できない。7

起訴された罪名と法定刑

トムソンには8件の罪が問われている。内訳は、コンピューター犯罪に使用するデータの保有（法定刑の上限3年）、重大犯罪を意図した無権限のデータ改変4件（各5年）、コンピューター犯罪に使用するデータの供給（3年）、第3LA条に基づく命令への不履行（10年）、10万豪ドル以上とされる犯罪収益の取引（20年）だ。7

ゲイブラーには6件が起訴されている。コンピューター犯罪に使用するデータの保有、無権限のデータ改変4件、同データの供給で、該当する法定刑の上限はそれぞれ3年または5年とされている。7

ここで示される年数は法律上の最高刑であり、必ずしも複数の刑が単純に合算されるわけではない。また、有罪になった場合に実際に言い渡される刑を意味するものでもない。

AFPが主張する攻撃の規模と手口

AFPによると、関係する集団はオープンソースのリポジトリに悪意あるコードを組み込み、そのソフトウェアを使った下流の開発者や組織が、知らないうちにコードを取り込む状態を作ったとされる。AFPは、世界で1,000以上の組織が影響を受けた可能性があり、50万件を超える認証情報が盗まれ、少なくとも300GBのデータが持ち出されたと説明している。また、被害対応や復旧にかかる費用は数億ドル規模に達した可能性があるという。7

これは、個別の企業を直接狙う従来型の侵入とは異なり、開発者が信頼して利用するソフトウェアや依存関係を経由して被害を広げる、いわゆるサプライチェーン攻撃に当たる。もっとも、AFPが示した数字は捜査当局の主張であり、最終的な被害範囲が確定したことを意味しない。

TeamPCPとの関連が報じられたプロジェクト

独立系のセキュリティ報道では、TeamPCPに関連するサプライチェーン侵害として、オープンソースのセキュリティスキャナー「Trivy」や「Checkmarx KICS」、AIゲートウェイ「LiteLLM」が挙げられている。MercorやGitHub関連のインフラなど、ほかの標的に関する報道もある。36

欧州委員会のクラウド環境については、CERT-EUが、Trivyのサプライチェーン侵害に関連する重大なインシデントだったと確認している。初期アクセスがTeamPCPに帰属されたTrivyの侵害を通じて得られた可能性が高いとの評価も示されており、単なる「影響を受けたかもしれない」という推測より強い公的な裏付けがある。1

「Ellis」やリーダー説は確認できるのか

現時点で確認できる権威性の高い資料だけでは、トムソンが「Ellis」という別名を使っていたこと、2026年3月までTeamPCPを率いていたこと、本人が約2万ドルを得ていたことを確定できない。

同様に、TeamPCPが中央集権的な階層組織だったのか、中心人物を含む緩やかな仲間集団だったのかも、公的な起訴資料や宣誓証拠が公開されない限り断定は避けるべきだ。報道で紹介される人物像と、裁判で立証される事実は同じではない。

Shai-Huludとの関係と技術的評価

セキュリティ研究では、TeamPCPと「Mini Shai-Hulud」と呼ばれる拡散活動を結び付ける分析が出ている。3 ただし、TeamPCPが元のShai-Huludワームを作成したと、断定に足る水準で確認されたわけではない。

また、同グループは高度な独自技術を持つというより、公開された脆弱性やマルウェアの手法を素早く転用していたという見方もある。しかし、これは研究者や報道による分析であり、AFPが認定した事実ではない。

今後の焦点

AFPは押収したデータのフォレンジック解析を継続しており、追加の逮捕や起訴を排除していない。7 今後は、押収機器から得られる証拠が、2人の具体的な役割、攻撃対象との結び付き、データの流出規模、犯罪収益の流れをどこまで裏付けるかが焦点になる。

現段階で確実に言えるのは、豪当局が2人をTeamPCPへの関与を疑って起訴し、関連物件を捜索したことまでだ。それ以上の人物関係や収益、技術的責任については、裁判手続きと追加の捜査発表を待つ必要がある。