Wat de TeamPCP-arrestaties onthullen over een vermeende wereldwijde supplychaincampagne

De Australian Federal Police (AFP) heeft twee mannen uit West-Australië aangeklaagd wegens hun vermeende rol binnen TeamPCP, een cybercrimegroep die ervan wordt beschuldigd vertrouwde open-sourcesoftware te hebben voorzien van kwaadaardige code. De arrestaties volgden op een gezamenlijke operatie van de AFP, de politie van West-Australië en de FBI op 26 augustus 2026. 7

De zaak is belangrijk omdat de vermeende aanval niet rechtstreeks op elk slachtoffer hoefde te worden uitgevoerd. Organisaties konden risico lopen door simpelweg een besmette ontwikkeltool of softwarepakket te gebruiken. Tegelijkertijd zijn niet alle details die online en in vroege berichtgeving circuleren door het beschikbare bewijsmateriaal bevestigd. De beschuldigingen moeten nog voor de rechter worden getoetst.

Wie zijn aangeklaagd?

Volgens de AFP arresteerden agenten een 21-jarige man uit Cottesloe en een 23-jarige man uit Mandurah. Zij voerden huiszoekingen uit in Cottesloe, Hamilton Hill en Mandurah en namen elektronische apparaten en ander materiaal in beslag voor forensisch onderzoek. 7

Openbare berichtgeving identificeert de mannen als Ruben Ian Thomson en Louis Michael Gaebler. Waar zijn volledige naam relevant is, is het dus niet juist om Gaebler alleen als ‘Michael Gaebler’ aan te duiden. De twee verschenen op 27 augustus, of zouden die dag verschijnen, voor de Magistrates Court in Perth. 37

De AFP meldt dat het forensische onderzoek nog loopt en sluit nieuwe arrestaties of aanklachten niet uit. De politieverklaring bevat geen bevestigde informatie over de uitkomst van een eventuele borgtocht of voorlopige vrijlating. Daarover kunnen daarom geen stellige conclusies worden getrokken.

Waaruit bestaan de 14 aanklachten?

De twee mannen worden samen beschuldigd van 14 strafbare feiten:

• Thomson heeft acht aanklachten: het bezit van gegevens voor een computermisdrijf; vier aanklachten wegens het zonder toestemming wijzigen van gegevens met de bedoeling een ernstig misdrijf te plegen; het verstrekken van gegevens voor een computermisdrijf; het niet naleven van een bevel op grond van section 3LA; en het omgaan met vermeende opbrengsten van misdrijven ter waarde van minstens 100.000 Australische dollar.
• Gaebler heeft zes aanklachten: het bezit van gegevens voor een computermisdrijf; vier aanklachten wegens ongeoorloofde gegevenswijziging met de bedoeling een ernstig misdrijf te plegen; en het verstrekken van gegevens voor een computermisdrijf. 7

De AFP noemt voor afzonderlijke feiten wettelijke maximumstraffen van drie jaar voor het bezit of verstrekken van gegevens, vijf jaar voor elk feit rond ongeoorloofde gegevenswijziging, tien jaar voor het niet naleven van het bevel en twintig jaar voor het vermeende misdrijf rond opbrengsten. 7

Het gaat om wettelijke maxima per afzonderlijk feit. Dat betekent niet dat een van beide verdachten automatisch die straf krijgt, dat alle maxima bij elkaar worden opgeteld of dat een veroordeling volgt. Beide mannen worden onschuldig geacht totdat hun schuld wettig en overtuigend is bewezen.

Hoe zou de vermeende TeamPCP-campagne hebben gewerkt?

De AFP stelt dat de groep kwaadaardige code in software op open-sourceplatforms plaatste. Ontwikkelaars en organisaties konden die aangepaste tools vervolgens gebruiken zonder te weten dat ze waren gemanipuleerd. Op die manier zouden aanvallers toegang hebben gekregen tot systemen verderop in de softwareketen en gevoelige informatie hebben buitgemaakt. 7

Volgens de politie kon de campagne:

• meer dan 1.000 organisaties wereldwijd hebben geraakt;
• de diefstal van meer dan 500.000 inloggegevens mogelijk hebben gemaakt;
• minstens 300 gigabyte aan gegevens hebben laten wegsluizen; en
• herstelkosten van honderden miljoenen dollars hebben veroorzaakt. 7

Dit zijn onderzoeksramingen en beschuldigingen, geen definitieve telling van bevestigde slachtoffers of schade. Afzonderlijke beveiligingsrapporten brachten TeamPCP in verband met incidenten rond Trivy, Checkmarx KICS en LiteLLM. Andere berichtgeving beschreef daarnaast vermeende gevolgen voor onder meer Mercor en infrastructuur die aan GitHub is gekoppeld. 36

Was ook de Europese Commissie getroffen?

Voor een verband met de Europese Commissie bestaat sterker bewijs dan voor een louter ‘mogelijk’ effect. CERT-EU, het Computer Emergency Response Team van de Europese Unie, zei met hoge mate van zekerheid te hebben vastgesteld dat de eerste toegang tot een cloudomgeving van de Commissie tot stand kwam via de supplychaincompromittering van Trivy. Die aanval was publiekelijk toegeschreven aan een dreigingsactor die bekendstaat als TeamPCP. CERT-EU meldde ook dat een aanzienlijke hoeveelheid data was buitgemaakt. 23

Dat bevestigt een gemeld verband tussen de Trivy-compromittering en het cloudincident bij de Europese Commissie. Het bewijst op zichzelf echter niet elke beschuldiging over de persoonlijke betrokkenheid van de twee Australische verdachten bij dat incident.

Welke beweringen zijn nog onbevestigd?

Verschillende specifieke claims uit vroege berichtgeving en online discussies moeten voorzichtig worden behandeld. Het beschikbare materiaal bevestigt niet dat:

• Thomson de alias ‘Ellis’ gebruikte;
• hij TeamPCP tot maart 2026 leidde;
• hij persoonlijk ongeveer 20.000 dollar verdiende;
• TeamPCP een losse gemeenschap van gelijkwaardige deelnemers met één centrale figuur was, in plaats van een formeel georganiseerde hiërarchie; of
• de groep de oorspronkelijke Shai-Hulud-worm heeft gemaakt.

Onderzoek heeft TeamPCP wel in verband gebracht met een verspreidingsgolf die ‘Mini Shai-Hulud’ wordt genoemd. Dat is niet hetzelfde als vaststellen dat TeamPCP de oorspronkelijke Shai-Hulud-malware heeft ontwikkeld. Ook de typering dat de groep technisch weinig geavanceerd was en vooral snel bestaande publieke exploits en malware-ideeën hergebruikte, is een analyse en geen conclusie uit de aanklacht van de AFP. 3

Sommige media omschrijven Thomson als leider of hoofddeelnemer. De meest gezaghebbende beschikbare informatie onderbouwt echter niet alle meer gedetailleerde claims over identiteit, organisatie en financiën. Die kunnen duidelijker worden uit officiële aanklachtdocumenten, de rechtszaak of nieuwe mededelingen van onderzoekers.

Wat gebeurt er nu?

De eerstvolgende stap is het forensisch onderzoek van de apparaten en andere materialen die tijdens de huiszoekingen zijn meegenomen. De AFP zegt dat dit onderzoek doorgaat en dat aanvullende arrestaties of aanklachten mogelijk blijven. 7

De bevestigde feiten zijn voorlopig dus beperkter dan de breedste beschrijvingen van de zaak: twee mannen zijn aangeklaagd voor 14 vermeende strafbare feiten in een gezamenlijk Australisch-Amerikaans onderzoek naar een omvangrijke software-supplychaincampagne. De vermeende impact is groot, maar vragen over leiderschap, aliassen, geldstromen en de precieze structuur van TeamPCP zijn nog niet definitief beantwoord.