O que se sabe sobre as prisões ligadas ao TeamPCP na Austrália

As prisões e as acusações foram confirmadas, mas várias informações mais específicas — como a suposta liderança do grupo, pseudônimos, ganhos financeiros, estrutura operacional e decisões sobre fiança — ainda não estão comprovadas pelo comunicado da Polícia Federal Australiana (AFP) ou pelas fontes de maior autoridade disponíveis. As acusações são alegações e não representam condenações.

Prisões e buscas

Em 26 de agosto, a AFP e a Polícia da Austrália Ocidental, com apoio do FBI, prenderam um homem de 21 anos de Cottesloe e outro de 23 anos de Mandurah. As equipes cumpriram mandados de busca em propriedades localizadas em Cottesloe, Hamilton Hill e Mandurah.

Os agentes apreenderam dispositivos eletrônicos e outros materiais para análise forense. A investigação continua, e a AFP não descartou novas prisões ou acusações. 7

Quem são os acusados e qual é a situação no tribunal

Reportagens identificam os homens como Ruben Ian Thomson, de 21 anos, e Louis Michael Gaebler, de 23 — e não simplesmente “Michael Gaebler”. Os dois deveriam comparecer ao Tribunal de Magistrados de Perth em 27 de agosto.

O comunicado da AFP não informa as decisões sobre fiança. Portanto, com base no material analisado, esse resultado permanece não confirmado. 7

Quais são as acusações

Thomson responde a oito acusações:

• posse de dados para a prática de um crime de informática, com pena máxima de três anos;
• quatro acusações de modificação não autorizada de dados com a intenção de cometer um crime grave, com pena máxima de cinco anos para cada acusação;
• fornecimento de dados para a prática de um crime de informática, com pena máxima de três anos;
• descumprimento de uma ordem prevista na seção 3LA, com pena máxima de dez anos; e
• envolvimento com pelo menos 100 mil dólares em supostos produtos de crime, com pena máxima de 20 anos.

Gaebler responde a seis acusações: posse de dados, quatro acusações de suposta modificação não autorizada de dados e fornecimento de dados. As penas máximas correspondentes são de três e cinco anos, conforme o tipo de acusação.

Esses limites legais máximos não significam necessariamente que as penas sejam cumulativas nem indicam qual seria a sentença caso algum dos acusados fosse condenado. 7

Como teria funcionado a campanha

Segundo a AFP, o suposto grupo criminoso inseria código malicioso em softwares distribuídos por repositórios de código aberto. Desenvolvedores que baixavam e utilizavam esses programas poderiam, sem saber, incorporar o código comprometido aos próprios sistemas.

A polícia afirma que a campanha pode ter comprometido mais de mil organizações no mundo, permitido o roubo de mais de 500 mil credenciais e levado à extração de pelo menos 300 GB de dados. A AFP também estima que os custos de remediação tenham chegado à casa das centenas de milhões de dólares. 7

Projetos e vítimas associados aos incidentes

Reportagens independentes associam o TeamPCP a comprometimentos na cadeia de suprimentos envolvendo o Trivy, o Checkmarx KICS e o LiteLLM. Outros possíveis alvos mencionados em reportagens incluem a Mercor e infraestruturas relacionadas ao GitHub. 36

Separadamente, o CERT-EU confirmou que a Comissão Europeia registrou um incidente significativo em sua infraestrutura de nuvem relacionado a um comprometimento da cadeia de suprimentos do Trivy. Isso fornece uma confirmação mais sólida de impacto real do que uma simples possibilidade especulativa. 1

O que ainda não foi comprovado

Não há evidências de alta autoridade suficientes, no material analisado, para confirmar que Thomson usava o pseudônimo “Ellis”, que liderou o TeamPCP até março de 2026 ou que obteve pessoalmente cerca de 20 mil dólares.

Também não está confirmado se o grupo funcionava como uma rede de pares com uma figura central ou como uma organização hierárquica. Essas afirmações devem ser tratadas como não verificadas até que sejam sustentadas por documentos de acusação, depoimentos sob juramento ou outras provas formais.

Pesquisas de segurança relacionam o TeamPCP a uma onda de propagação chamada “Mini Shai-Hulud”. No entanto, o material disponível não permite afirmar, com segurança suficiente, que o grupo tenha criado o malware original Shai-Hulud. A avaliação de que os integrantes apenas reutilizavam rapidamente exploits e ideias de malware públicos, apesar de uma sofisticação técnica limitada, também é uma interpretação analítica — não uma conclusão apresentada pela AFP. 3

Próximos passos

A AFP afirma que a perícia dos dados apreendidos continua. A investigação poderá resultar em novas acusações ou prisões, mas qualquer conclusão sobre a responsabilidade individual dos dois homens dependerá do processo judicial. 7