O que as acusações contra dois supostos hackers da TeamPCP revelam sobre a campanha global

A Polícia Federal Australiana (AFP) acusou dois homens da Austrália Ocidental por suposta participação na TeamPCP, grupo de cibercrime acusado de inserir código malicioso em softwares de código aberto usados por desenvolvedores e empresas em todo o mundo. A operação conjunta envolveu a AFP, a polícia da Austrália Ocidental e o FBI, e ocorreu em 26 de agosto de 2026. 7

O caso chama atenção porque o método atribuído ao grupo explorava a confiança em ferramentas legítimas: uma organização poderia ser afetada simplesmente por utilizar um pacote ou programa que tivesse sido adulterado. Ainda assim, as acusações não foram testadas em julgamento, e vários detalhes divulgados em relatos iniciais continuam sem confirmação oficial.

Quem foi preso?

Segundo a AFP, os agentes prenderam um homem de 21 anos de Cottesloe e outro de 23 anos de Mandurah. Mandados de busca foram cumpridos em imóveis de Cottesloe, Hamilton Hill e Mandurah, onde dispositivos eletrônicos e outros materiais foram apreendidos para perícia. 7

Reportagens identificam os suspeitos como Ruben Ian Thomson e Louis Michael Gaebler. Quando o nome completo é relevante, Gaebler não deve ser identificado apenas como “Michael Gaebler”. Os dois compareceram — ou estavam previstos para comparecer — ao Tribunal de Magistrados de Perth em 27 de agosto. 37

A AFP afirma que a análise forense continua e não descarta novas prisões ou acusações. O comunicado oficial não informa decisões confirmadas sobre fiança; portanto, esse resultado não deve ser tratado como fato com base nas evidências disponíveis.

Quais são as 14 acusações?

Os dois homens respondem, juntos, a 14 acusações:

• Thomson enfrenta oito acusações: posse de dados para a prática de crime informático; quatro acusações de modificação não autorizada de dados com a intenção de cometer um crime grave; fornecimento de dados para a prática de crime informático; descumprimento de uma ordem prevista na seção 3LA; e negociação com pelo menos 100 mil dólares australianos em supostos proventos de crime.
• Gaebler enfrenta seis acusações: posse de dados para a prática de crime informático; quatro acusações de modificação não autorizada de dados com a intenção de cometer um crime grave; e fornecimento de dados para a prática de crime informático. 7

De acordo com a AFP, as penas máximas previstas para as acusações contra Thomson incluem três anos por posse ou fornecimento de dados, cinco anos por cada acusação de modificação não autorizada, dez anos por descumprimento da ordem da seção 3LA e 20 anos pelo suposto crime envolvendo proventos ilícitos. As acusações correspondentes contra Gaebler têm máximas de três anos para posse ou fornecimento de dados e cinco anos para cada acusação de modificação. 7

Esses números são penas máximas previstas em lei para crimes individuais. Eles não significam que os acusados receberão essas penas, que os períodos serão automaticamente somados ou que haverá condenação. Thomson e Gaebler são presumidos inocentes até que se prove o contrário.

Como a TeamPCP teria operado?

A AFP afirma que o grupo inseriu código malicioso em softwares distribuídos por repositórios de código aberto. Desenvolvedores e organizações teriam usado as ferramentas adulteradas sem necessariamente perceber a alteração, permitindo que os invasores alcançassem sistemas posteriores e coletassem informações sensíveis. 7

As autoridades estimam que a campanha possa ter:

• comprometido mais de 1.000 organizações no mundo;
• permitido o roubo de mais de 500 mil credenciais;
• levado à extração de pelo menos 300 gigabytes de dados; e
• gerado custos de resposta e recuperação na casa das centenas de milhões de dólares. 7

Esses números são estimativas da investigação e alegações policiais, não um balanço final de vítimas ou prejuízos confirmados.

Relatórios independentes associaram a TeamPCP a comprometimentos envolvendo o Trivy, scanner de vulnerabilidades para contêineres; o Checkmarx KICS, ferramenta de análise de infraestrutura como código; e o LiteLLM, biblioteca usada para encaminhar solicitações a diferentes modelos de inteligência artificial. Também foram descritos possíveis impactos sobre organizações como a Mercor e infraestruturas relacionadas ao GitHub. 36

A Comissão Europeia foi afetada?

Há evidências mais fortes de uma conexão entre a campanha e um incidente na Comissão Europeia do que a expressão “possível impacto” poderia sugerir. O CERT-EU, equipe de resposta a incidentes de segurança cibernética da União Europeia, afirmou ter avaliado com alto grau de confiança que o acesso inicial ao ambiente de nuvem ligado à Comissão ocorreu por meio do comprometimento da cadeia de fornecimento do Trivy, atribuído publicamente à TeamPCP. O órgão também informou que um volume significativo de dados foi extraído. 23

Isso estabelece uma conexão relatada entre o comprometimento do Trivy e o incidente na nuvem da Comissão Europeia. Por si só, porém, não prova que os dois acusados na Austrália tenham participado pessoalmente desse episódio.

O que ainda não foi confirmado?

Algumas afirmações presentes em relatos iniciais ou em discussões online devem ser tratadas com cautela. Entre elas estão:

• que Thomson usava o pseudônimo “Ellis”;
• que ele liderou a TeamPCP até março de 2026;
• que recebeu pessoalmente cerca de US$ 20 mil;
• que a TeamPCP funcionava como uma comunidade de pares com uma figura central, e não como uma estrutura hierárquica formal; e
• que o grupo criou o worm original Shai-Hulud.

Pesquisadores de segurança associaram a TeamPCP a uma onda de propagação chamada “Mini Shai-Hulud”. Isso não equivale a provar que o grupo tenha criado o malware original Shai-Hulud. Da mesma forma, dizer que a organização tinha baixa sofisticação técnica ou dependia principalmente da rápida adaptação de exploits públicos é uma análise, não uma conclusão apresentada no comunicado de acusações da AFP. 3

Algumas reportagens descrevem Thomson como líder ou participante principal. No entanto, o material de maior autoridade disponível não confirma todos os detalhes sobre sua identidade, a estrutura da organização ou seus ganhos financeiros. Essas questões podem ser esclarecidas por documentos judiciais, depoimentos ou novos comunicados das autoridades.

O que acontece agora?

O próximo passo imediato é a perícia dos dispositivos e demais materiais apreendidos nas buscas. A AFP afirma que esse trabalho continua e que novas prisões ou acusações ainda são possíveis. 7

Por enquanto, o quadro confirmado é mais restrito do que as descrições mais amplas do caso: dois homens foram acusados de 14 crimes em uma investigação conjunta entre Austrália e Estados Unidos sobre uma grande campanha contra a cadeia de fornecimento de software. A escala alegada é expressiva, mas questões sobre liderança pessoal, pseudônimos, dinheiro e a estrutura exata da TeamPCP permanecem em aberto.