TeamPCP事件で豪州の2人を起訴　オープンソース経由の攻撃、その規模と未解明点

豪州連邦警察（AFP）は、オープンソースソフトウェアに悪意あるコードを仕込み、利用者を通じて下流の組織を狙ったとされるサイバー犯罪グループ「TeamPCP」への関与をめぐり、西オーストラリア州の男性2人を起訴した。逮捕・捜索は、AFP、同州警察、米連邦捜査局（FBI）が連携する捜査の一環として、2026年8月26日に行われた。 7

この事件の核心は、企業のネットワークを直接攻撃するのではなく、開発者が信頼して使うツールやパッケージを改変し、その利用者を一斉に危険にさらす手口にある。ただし、容疑者の役割やグループの内部構造について、ネット上や一部報道で広がっている情報のすべてが公的に確認されたわけではない。起訴内容は裁判で審理されておらず、2人は有罪が確定するまで無罪と推定される。

誰が逮捕されたのか

AFPによると、捜査当局はコテスロー、ハミルトンヒル、マンデュラの物件を捜索し、21歳のコテスロー在住男性と23歳のマンデュラ在住男性を逮捕した。電子機器などが押収され、現在、フォレンジック分析が進められている。 7

報道では、2人は**ルーベン・イアン・トムソン氏（Ruben Ian Thomson）とルイス・マイケル・ゲーブラー氏（Louis Michael Gaebler）**と特定されている。ゲーブラー氏について、フルネームが必要な文脈で単に「マイケル・ゲーブラー」と表記することは、確認できる報道に沿わない。2人は8月27日にパース治安判事裁判所に出廷した、または出廷予定だったと報じられている。 37

AFPは、押収物の分析が続いており、今後さらに逮捕や起訴が行われる可能性を排除していない。一方、現時点のAFP発表には保釈の判断結果が示されていないため、2人が保釈されたかどうかを確定情報として扱うことはできない。

14件の容疑の内容

2人に対する容疑は、合わせて14件。AFPの発表による内訳は次の通りだ。

• トムソン氏は8件：コンピューター犯罪に使用するデータの所持、重大犯罪を行う意図での無許可データ改変4件、コンピューター犯罪に使用するデータの供給、刑事手続き上のセクション3LA命令への不遵守、10万豪ドル以上の犯罪収益とされる資金の取引。
• ゲーブラー氏は6件：コンピューター犯罪に使用するデータの所持、重大犯罪を行う意図での無許可データ改変4件、コンピューター犯罪に使用するデータの供給。 7

AFPが示した個別の法定刑の上限は、トムソン氏の場合、データの所持または供給が3年、無許可データ改変の各罪が5年、セクション3LA命令への不遵守が10年、犯罪収益に関する罪が20年。ゲーブラー氏のデータ所持・供給・改変に関する容疑にも、それぞれ対応する上限が適用される。 7

ここで示された年数は、あくまで個々の犯罪に定められた法定刑の上限だ。実際にその刑が言い渡されることや、すべての刑期が自動的に合算されること、有罪判決が下ることを意味しない。2人には無罪推定が適用される。

TeamPCPはどのような攻撃を行ったとされるのか

AFPは、TeamPCPがオープンソースのリポジトリにあるソフトウェアへ悪意あるコードを挿入したと主張している。開発者や組織が改変に気づかないまま、そのツールを通常の開発環境や業務で利用することで、攻撃者が下流のシステムへ到達し、機密情報を取得できたという構図だ。 7

警察は、このキャンペーンについて次の規模を見積もっている。

• 世界で1,000超の組織が影響を受けた可能性
• 50万件超の認証情報が盗まれた可能性
• 少なくとも300ギガバイトのデータが持ち出された可能性
• 対応・復旧費用が数億ドル規模に達した可能性 7

これらは捜査上の推計や申し立てであり、確定した被害組織数や損失額の最終集計ではない。別のセキュリティ報道では、TeamPCPに関連する侵害として、脆弱性スキャナーのTrivy、インフラ構成の静的解析ツールCheckmarx KICS、AIモデルへのリクエストを中継するLiteLLMなどが挙げられている。また、MercorやGitHub関連インフラへの影響も報じられている。 36

欧州委員会も被害を受けたのか

欧州委員会との関連については、単なる「影響を受けた可能性」という表現より強い公的資料がある。EU機関のサイバーセキュリティ対応組織であるCERT-EUは、欧州委員会関連のクラウド環境への初期アクセスが、TeamPCPに公に帰属されていたTrivyのサプライチェーン侵害を通じて行われたと、高い確度で評価した。CERT-EUは、相当量のデータが持ち出されたとも報告している。 23

これは、Trivyの侵害と欧州委員会のクラウド・インシデントとの関連を示すものだ。ただし、この事実だけで、オーストラリアで起訴された2人が同インシデントに個人的に関与したというすべての主張まで証明されるわけではない。

何がまだ確認されていないのか

初期報道やオンライン上の議論には、現時点で慎重に扱うべき主張がある。たとえば次の点だ。

• トムソン氏が**「Ellis」**という別名を使っていたこと
• 同氏が2026年3月までTeamPCPを率いていたこと
• 同氏が約2万ドルを個人的に得ていたこと
• TeamPCPが正式な階層組織ではなく、中心人物を置く同業者コミュニティだったこと
• 同グループがオリジナルのShai-Huludワームを作成したこと

セキュリティ研究では、TeamPCPが**「Mini Shai-Hulud」**と呼ばれる拡散キャンペーンに関与したとされている。しかし、それはTeamPCPが元祖のShai-Huludマルウェアを作ったことを意味しない。また、同グループが技術的には高度でなく、公開されたエクスプロイトやマルウェアのアイデアを素早く転用していたという評価も、AFPの起訴発表そのものに記された確定判断ではなく、分析上の見方だ。 3

一部報道はトムソン氏をリーダー、または主要な参加者と表現しているが、別名、組織内での具体的な役割、収益、グループの構造に関する細部すべてが、信頼度の高い公的資料で確認されたわけではない。今後、起訴状や裁判手続き、捜査当局の追加発表によって明らかになる可能性がある。

今後の焦点

当面の焦点は、捜索で押収された電子機器や資料のフォレンジック分析だ。AFPは捜査が継続中であることを明らかにし、追加の逮捕や起訴の可能性も残している。 7

現時点で確定的に言える範囲は、TeamPCPによるとされる大規模なソフトウェア・サプライチェーン攻撃をめぐり、オーストラリアと米国の捜査協力のもと、2人が計14件の容疑で起訴されたということだ。被害規模は重大だが、誰が指揮したのか、どの別名を使ったのか、どれほどの金銭を得たのか、グループがどのような構造だったのかは、なお捜査と裁判の行方に委ねられている。