Aresztowania w sprawie TeamPCP. Zarzuty dotyczą zatruwania otwartego oprogramowania

Australijska policja federalna (AFP) poinformowała o postawieniu zarzutów dwóm mężczyznom z Australii Zachodniej w związku z ich rzekomym udziałem w grupie TeamPCP. Śledczy twierdzą, że cyberprzestępcy umieszczali złośliwy kod w zaufanym oprogramowaniu open source, narażając organizacje, które korzystały z przejętych narzędzi. Aresztowania były wynikiem wspólnej operacji AFP, policji Australii Zachodniej i Federalnego Biura Śledczego (FBI) przeprowadzonej 26 sierpnia 2026 roku. 7

Sprawa pokazuje, dlaczego ataki na łańcuch dostaw oprogramowania są tak groźne: ofiara nie musi bezpośrednio pobrać malware’u. Wystarczy, że użyje narzędzia lub pakietu, który został wcześniej zmodyfikowany przez napastników. Jednocześnie część szczegółów krążących w mediach i internecie nie została dotąd potwierdzona. Zarzuty nie zostały jeszcze rozstrzygnięte przez sąd.

Kogo aresztowano?

AFP podała, że funkcjonariusze zatrzymali 21-letniego mężczyznę z Cottesloe oraz 23-letniego mężczyznę z Mandurah. Nakazy przeszukania wykonano w nieruchomościach w Cottesloe, Hamilton Hill i Mandurah. Policja zabezpieczyła urządzenia elektroniczne oraz inne materiały, które mają zostać poddane analizie kryminalistycznej. 7

W publicznych relacjach mężczyźni są identyfikowani jako Ruben Ian Thomson i Louis Michael Gaebler. W odniesieniu do Gaeblera używanie wyłącznie formy „Michael Gaebler” jest nieprecyzyjne, gdy istotne jest jego pełne imię i nazwisko. Obaj pojawili się lub mieli pojawić się przed sądem magistrackim w Perth 27 sierpnia. 37

AFP zaznacza, że analiza zabezpieczonych materiałów nadal trwa. Policja nie wyklucza kolejnych aresztowań ani zarzutów. W oficjalnym komunikacie nie podano potwierdzonych informacji o decyzjach w sprawie kaucji, dlatego ich wyników nie należy przedstawiać jako faktu.

Jakie zarzuty postawiono?

Mężczyźni usłyszeli łącznie 14 zarzutów. Według AFP:

• Thomsonowi postawiono osiem zarzutów: posiadania danych w celu popełnienia przestępstwa komputerowego; czterech przypadków nieuprawnionej modyfikacji danych z zamiarem popełnienia poważnego przestępstwa; dostarczania danych w celu popełnienia przestępstwa komputerowego; niewykonania nakazu wydanego na podstawie sekcji 3LA; oraz obrotu mieniem o wartości co najmniej 100 tys. dolarów, które miało pochodzić z przestępstwa.
• Gaeblerowi postawiono sześć zarzutów: posiadania danych w celu popełnienia przestępstwa komputerowego; czterech przypadków nieuprawnionej modyfikacji danych z zamiarem popełnienia poważnego przestępstwa; oraz dostarczania danych w celu popełnienia przestępstwa komputerowego. 7

W przypadku zarzutów wobec Thomsona maksymalne kary wskazane przez AFP obejmują trzy lata za posiadanie lub dostarczanie danych, pięć lat za każdy przypadek nieuprawnionej modyfikacji danych, 10 lat za niewykonanie nakazu z sekcji 3LA oraz 20 lat za zarzut dotyczący korzyści pochodzących z przestępstwa. Te same maksymalne kary za posiadanie, dostarczanie i modyfikację danych dotyczą odpowiednich zarzutów wobec Gaeblera. 7

Są to maksymalne kary ustawowe przypisane do poszczególnych czynów. Nie oznaczają, że którykolwiek z mężczyzn otrzyma taki wyrok, że kary automatycznie się zsumują ani że sąd w ogóle stwierdzi winę. Obaj oskarżeni są niewinni, dopóki wina nie zostanie im udowodniona.

Na czym miała polegać kampania TeamPCP?

Według AFP syndykat umieszczał złośliwy kod w oprogramowaniu publikowanym w otwartych repozytoriach. Deweloperzy i organizacje mogli następnie korzystać ze zmodyfikowanych narzędzi, nie wiedząc, że zostały przejęte. W ten sposób napastnicy mieli uzyskiwać dostęp do kolejnych systemów i wykradać poufne informacje. 7

Policja szacuje, że kampania mogła:

• narazić ponad 1000 organizacji na całym świecie;
• umożliwić kradzież ponad 500 tys. danych uwierzytelniających;
• doprowadzić do wyprowadzenia co najmniej 300 GB danych; oraz
• wygenerować koszty usuwania skutków ataku sięgające setek milionów dolarów. 7

Są to szacunki śledczych i elementy zarzutów, a nie ostateczny bilans potwierdzonych ofiar i strat. Niezależne publikacje dotyczące bezpieczeństwa łączyły TeamPCP z incydentami obejmującymi narzędzia Trivy, Checkmarx KICS i LiteLLM. Opisywano również potencjalny wpływ na organizacje takie jak Mercor oraz infrastrukturę powiązaną z GitHubem. 36

Czy ucierpiała Komisja Europejska?

Na temat związku między TeamPCP a incydentem dotyczącym Komisji Europejskiej istnieją mocniejsze dowody niż sugerowałoby samo określenie „możliwy wpływ”. CERT-EU, unijny zespół reagowania na incydenty cyberbezpieczeństwa, ocenił z wysokim prawdopodobieństwem, że początkowy dostęp do chmurowego środowiska związanego z Komisją uzyskano za pośrednictwem ataku na łańcuch dostaw Trivy, publicznie przypisywanego TeamPCP. CERT-EU poinformował również o wyprowadzeniu znacznej ilości danych. 23

Ustalenia te potwierdzają zgłaszany związek między przejęciem Trivy a incydentem w chmurze Komisji Europejskiej. Nie dowodzą jednak same w sobie wszystkich zarzutów dotyczących osobistego udziału australijskich oskarżonych w tym konkretnym zdarzeniu.

Co pozostaje niepotwierdzone?

Ostrożnie należy traktować kilka szczegółowych twierdzeń pojawiających się we wczesnych relacjach i dyskusjach internetowych. Nie ma wystarczających, wiarygodnych podstaw, by jako ustalone fakty przedstawiać, że:

• Thomson używał pseudonimu „Ellis”;
• kierował TeamPCP do marca 2026 roku;
• osobiście zarobił około 20 tys. dolarów;
• TeamPCP było społecznością równorzędnych uczestników z jednym centralnym liderem, a nie bardziej formalną strukturą; lub
• grupa stworzyła oryginalnego robaka Shai-Hulud.

Badacze bezpieczeństwa wiązali TeamPCP z falą propagacji określaną jako „Mini Shai-Hulud”. Nie jest to jednak równoznaczne z potwierdzeniem, że grupa stworzyła pierwotne złośliwe oprogramowanie Shai-Hulud. Podobnie twierdzenie, że TeamPCP było technicznie mało zaawansowane i głównie szybko wykorzystywało publicznie dostępne exploity oraz pomysły na malware, jest analizą, a nie ustaleniem zawartym w komunikacie AFP. 3

Część mediów opisuje Thomsona jako lidera lub głównego uczestnika operacji. Najbardziej wiarygodne dostępne materiały nie potwierdzają jednak wszystkich bardziej szczegółowych informacji dotyczących jego tożsamości, roli, finansów i organizacji grupy. Obraz sytuacji może się zmienić po ujawnieniu dokumentów procesowych, w toku postępowania sądowego lub po kolejnych komunikatach śledczych.

Co wydarzy się dalej?

Najbliższym krokiem będzie analiza kryminalistyczna urządzeń i innych materiałów zabezpieczonych podczas przeszukań. AFP podkreśla, że prace trwają i nie wyklucza kolejnych aresztowań ani zarzutów. 7

Na obecnym etapie potwierdzony obraz sprawy jest węższy niż najbardziej sensacyjne opisy: dwóch mężczyzn oskarżono o łącznie 14 czynów w ramach australijsko-amerykańskiego śledztwa dotyczącego poważnej kampanii ataków na łańcuch dostaw oprogramowania. Skala zarzucanych skutków jest znaczna, ale kwestie przywództwa, pseudonimu, pieniędzy i dokładnej struktury TeamPCP pozostają nierozstrzygnięte.