Что известно об арестах по делу TeamPCP и атаке на цепочку поставок ПО

Австралийская федеральная полиция (AFP) предъявила двум жителям Западной Австралии обвинения в связи с их предполагаемым участием в TeamPCP — киберпреступной группе, которую связывают с внедрением вредоносного кода в доверенное программное обеспечение с открытым исходным кодом. Операция прошла 26 августа 2026 года при участии AFP, полиции Западной Австралии и Федерального бюро расследований США (FBI). 7

Суть предполагаемой схемы — атака не напрямую на каждую компанию, а через инструменты, которыми пользуются разработчики. Организация могла оказаться под угрозой уже в момент установки заражённого пакета или запуска скомпрометированного инструмента. При этом обвинения ещё не рассматривались судом, а публичные материалы пока не подтверждают все детали, появившиеся в ранних публикациях и онлайн-обсуждениях.

Кого арестовали

По данным AFP, после обысков в Коттеслоу, Хэмилтон-Хилл и Мандуре были задержаны 21-летний мужчина из Коттеслоу и 23-летний мужчина из Мандуры. Правоохранители изъяли электронные устройства и другие материалы для криминалистической экспертизы. 7

В открытых публикациях подозреваемые названы Рубеном Яном Томсоном и Луисом Майклом Геблером. Использовать сокращённое имя «Майкл Геблер» некорректно, если речь идёт о его полном имени. Оба предстали перед мировым судом Перта или должны были предстать перед ним 27 августа. 37

AFP сообщает, что экспертиза изъятых материалов продолжается и новые аресты или обвинения пока не исключены. Официальный релиз не содержит подтверждённых данных о решениях по залогу, поэтому утверждать, что подозреваемые были отпущены или оставлены под стражей, на основании доступных источников нельзя.

Какие обвинения предъявлены

В общей сложности мужчинам вменяют 14 преступлений.

• Томсону предъявлено восемь обвинений: хранение данных для совершения компьютерного преступления; четыре эпизода несанкционированной модификации данных с намерением совершить тяжкое преступление; передача данных для компьютерного преступления; неисполнение требования по статье 3LA; а также операции как минимум со 100 000 австралийских долларов, предположительно полученных преступным путём.
• Геблеру предъявлено шесть обвинений: хранение данных для компьютерного преступления; четыре эпизода несанкционированной модификации данных с намерением совершить тяжкое преступление; и передача данных для компьютерного преступления. 7

AFP указывает следующие максимальные сроки для отдельных составов Томсона: до трёх лет за хранение или передачу данных, до пяти лет за каждый эпизод несанкционированной модификации, до 10 лет за неисполнение требования по статье 3LA и до 20 лет за преступление, связанное с предполагаемыми доходами. Для соответствующих обвинений Геблера действуют максимальные сроки в три и пять лет. 7

Это именно предусмотренные законом пределы для отдельных преступлений, а не готовый приговор. Они не означают, что обвиняемые обязательно получат такие сроки, что наказания автоматически сложат или что суд признает их виновными. Оба мужчины считаются невиновными, пока их вина не доказана.

Как, по версии полиции, работала кампания TeamPCP

AFP утверждает, что группа внедряла вредоносный код в программное обеспечение репозиториев с открытым исходным кодом. Разработчики и компании затем могли использовать изменённые инструменты, не подозревая о подмене. Это давало злоумышленникам возможность проникать в последующие системы и собирать конфиденциальные данные. 7

По оценке полиции, кампания могла:

• затронуть более 1 000 организаций по всему миру;
• привести к краже более 500 000 учётных данных;
• обеспечить вывоз как минимум 300 гигабайт данных;
• вызвать расходы на устранение последствий в размере сотен миллионов долларов. 7

Это предварительные следственные оценки, а не окончательный список пострадавших и подтверждённых убытков. Независимые публикации связывают TeamPCP с инцидентами вокруг Trivy, Checkmarx KICS и LiteLLM; также сообщалось о предполагаемом ущербе для Mercor и инфраструктуры, связанной с GitHub. 36

Была ли затронута Европейская комиссия

Связь с инцидентом в облачной инфраструктуре Европейской комиссии подтверждена лучше, чем формулировка о «возможном» воздействии. CERT-EU — команда реагирования на компьютерные инциденты учреждений ЕС — заявила, что с высокой степенью уверенности первоначальный доступ был получен через компрометацию цепочки поставок Trivy, которую ранее публично связывали с TeamPCP. CERT-EU также сообщила о значительном объёме вывезенных данных. 23

Это подтверждает связь между компрометацией Trivy и инцидентом в облачной среде Европейской комиссии. Однако само по себе не доказывает личное участие именно австралийских обвиняемых в этой атаке.

Какие детали пока не подтверждены

С осторожностью следует относиться к нескольким утверждениям из ранних сообщений и обсуждений в интернете:

• что Томсон использовал псевдоним «Ellis»;
• что до марта 2026 года он руководил TeamPCP;
• что он лично заработал около 20 000 долларов;
• что TeamPCP была горизонтальным сообществом с одним центральным участником, а не формально организованной иерархией;
• что группа создала оригинального червя Shai-Hulud.

Исследователи безопасности связывают TeamPCP с волной распространения вредоносного ПО, получившей название «Mini Shai-Hulud». Но это не доказывает, что именно TeamPCP создала исходный вредоносный червь Shai-Hulud. Точно так же утверждения о низкой технической сложности группы и её зависимости от быстро адаптированных публичных эксплойтов остаются аналитическими оценками, а не выводом из официального сообщения AFP. 3

Некоторые СМИ называют Томсона лидером или ключевым участником группы. Однако доступные источники высокого уровня пока не подтверждают все подробности о его псевдониме, роли, доходах и структуре TeamPCP. Больше ясности могут дать обвинительные документы, судебные заседания или новые заявления следствия.

Что будет дальше

Ближайший этап — криминалистический анализ устройств и других материалов, изъятых во время обысков. AFP подчёркивает, что работа продолжается и дополнительные обвинения или аресты возможны. 7

Пока подтверждённая картина выглядит уже, чем самые громкие описания дела: в рамках совместного расследования Австралии и США двум мужчинам предъявили 14 предполагаемых преступлений, связанных с масштабной атакой на цепочку поставок программного обеспечения. Потенциальный ущерб действительно велик, но вопросы о личном руководстве, псевдонимах, деньгах и точной структуре группы остаются открытыми.