호주 경찰이 체포한 TeamPCP 연루 의혹 피의자 2명, 무엇이 확인됐나

호주 연방경찰(AFP)은 2026년 8월 26일 서호주에서 TeamPCP라는 사이버 범죄 조직에 연루된 것으로 의심되는 남성 2명을 체포하고 모두 14개 혐의를 제기했다. 수사는 아직 진행 중이며, 지금 공개된 내용에는 경찰의 공식 발표와 보안업계 분석이 함께 섞여 있다. 따라서 아래 혐의와 피해 규모는 법원의 유죄 판결이 아닌 수사기관의 주장이라는 점을 전제로 봐야 한다.

체포와 압수수색

AFP와 서호주 경찰은 미국 연방수사국(FBI)의 지원을 받아 Cottesloe, Hamilton Hill, Mandurah에 있는 주거지를 수색했다. 수색 과정에서 전자기기와 기타 자료를 확보했으며, 경찰은 이를 포렌식 분석하고 있다. AFP는 분석 결과에 따라 추가 체포나 기소가 이뤄질 가능성도 배제하지 않았다. 7

공개 보도에서 확인되는 피의자 이름은 Cottesloe 거주자로 알려진 21세 Ruben Ian Thomson과 Mandurah 거주자인 23세 Louis Michael Gaebler다. 질문에 언급된 ‘Michael Gaebler’는 단독 이름이라기보다 공개 보도에 나온 전체 이름인 Louis Michael Gaebler를 가리키는 것으로 보인다. 두 사람은 2026년 8월 27일 퍼스 치안법원(Perth Magistrates Court)에 출석할 예정이었다. AFP 발표 자료만으로는 보석 허가 여부가 확인되지 않는다. 7

적용된 혐의와 법정 최고형

Thomson에게는 총 8개 혐의가 적용됐다.

• 컴퓨터 범죄에 사용될 데이터를 소지한 혐의: 법정 최고형 3년
• 중대 범죄를 저지를 의도로 데이터를 무단 변경한 혐의 4건: 각 5년
• 컴퓨터 범죄에 사용될 데이터를 공급한 혐의: 3년
• 관련 자료 제출 명령인 ‘3LA 조항’에 따르지 않은 혐의: 10년
• 범죄수익으로 의심되는 10만 호주달러 이상을 취급한 혐의: 20년 7

Gaebler에게는 총 6개 혐의가 제기됐다. 여기에는 컴퓨터 범죄 관련 데이터 소지, 데이터 무단 변경 4건, 데이터 공급 혐의가 포함되며, 해당 혐의의 법정 최고형은 각각 3년과 5년이다. 7

법정 최고형은 각 혐의에 대해 법률이 허용하는 최대치를 뜻한다. 실제 형량이 자동으로 합산되거나 두 피의자에게 최고형이 선고된다는 의미는 아니다.

경찰이 주장하는 공격 방식과 규모

AFP에 따르면 이 사건의 핵심은 오픈소스 저장소에 악성 코드를 삽입하는 공급망 공격이다. 오픈소스 소프트웨어는 여러 개발자와 기업이 내려받아 다른 서비스에 다시 사용하는 경우가 많기 때문에, 개발자가 악성 변경을 알아채지 못하면 해당 소프트웨어를 사용하는 조직으로 공격이 연쇄 확산될 수 있다.

AFP는 이 코드가 전 세계 1,000곳이 넘는 조직을 잠재적으로 침해했으며, 50만 개가 넘는 자격 증명을 탈취하고 최소 300GB의 데이터를 빼냈다고 주장한다. 피해 조직의 대응과 복구에 들어간 비용은 수억 달러 규모에 이를 수 있다는 것이 경찰의 설명이다. 이 수치는 현재 공개된 수사기관의 추정치이며, 모든 세부 피해가 법원에서 확정된 것은 아니다. 7

어떤 프로젝트가 거론됐나

보안업계 보도는 TeamPCP와 관련된 공급망 침해 사례로 오픈소스 보안 스캐너 Trivy, Checkmarx의 KICS, AI 게이트웨이인 LiteLLM을 언급한다. Mercor와 GitHub 관련 인프라 등 다른 표적이 거론되기도 했지만, 각각의 피해 범위와 책임 소재는 사건별로 구분해 확인할 필요가 있다. 36

유럽연합 사이버보안 기관인 CERT-EU는 유럽연합 집행위원회의 클라우드 사고와 Trivy 공급망 침해 사이에 연관성이 높다는 평가를 별도로 공개했다. CERT-EU는 초기 침투가 TeamPCP로 공개 귀속된 Trivy 침해를 통해 이뤄졌을 가능성을 높은 확신도로 평가했다. 따라서 해당 사례는 단순히 ‘피해를 입었을 수도 있다’는 추측보다 공식 기관의 확인에 가까운 자료로 볼 수 있다. 1

아직 확인되지 않은 주장

온라인에서 Thomson이 ‘Ellis’라는 별칭을 사용했으며 2026년 3월까지 TeamPCP의 지도자였다는 주장이 제기됐다. 그가 개인적으로 약 2만 달러를 벌었다는 주장이나, TeamPCP가 중앙 지도자 한 명을 둔 위계적 조직이 아니라 동료 중심의 집단이었다는 분석도 있다.

그러나 현재 확인 가능한 AFP 발표와 고위 권위 자료만으로는 이 내용들을 확정할 수 없다. 기소장, 법원 기록 또는 선서에 따른 증거가 공개되기 전까지는 미확인 귀속 정보나 분석으로 다루는 것이 적절하다.

‘Shai-Hulud’와 관련한 평가

보안 연구 자료는 TeamPCP를 ‘Mini Shai-Hulud’로 불린 확산 캠페인과 연결한다. 다만 현재 자료만으로 TeamPCP가 최초의 Shai-Hulud 웜을 만들었다고 단정할 수준의 근거는 확인되지 않는다. 또한 이 조직이 기술적으로 매우 정교했다기보다 공개된 익스플로잇과 악성코드 아이디어를 빠르게 재활용했다는 평가는 AFP의 공식 판단이라기보다 보안 분석가들의 해석에 가깝다. 3

앞으로의 절차

압수된 전자기기에 대한 분석이 계속되는 만큼, 경찰이 추가 혐의나 추가 피의자를 발표할 가능성은 남아 있다. 현재 확정적으로 말할 수 있는 것은 두 사람이 체포돼 기소됐고 관련 수사가 진행 중이라는 점이다. 조직 내 역할, 별칭, 실제 수익, 전체 피해 규모와 같은 세부 내용은 향후 법원 자료와 수사 결과가 공개돼야 더 분명해질 전망이다. 7