คดี TeamPCP สะเทือนวงการไซเบอร์ ออสเตรเลียจับชาย 2 คนหลังถูกกล่าวหาแทรกโค้ดมัลแวร์ในซอฟต์แวร์โอเพนซอร์ส

เกิดอะไรขึ้นเมื่อวันที่ 26 สิงหาคม

สำนักงานตำรวจสหพันธรัฐออสเตรเลีย (AFP) และตำรวจรัฐเวสเทิร์นออสเตรเลีย โดยมีสำนักงานสอบสวนกลางสหรัฐฯ (FBI) ให้ความช่วยเหลือ เข้าตรวจค้นบ้านพักในเมือง Cottesloe, Hamilton Hill และ Mandurah เมื่อวันที่ 26 สิงหาคม 2026 พร้อมจับกุมชาย 2 คน ได้แก่ Ruben Ian Thomson วัย 21 ปีจาก Cottesloe และ Louis Michael Gaebler วัย 23 ปีจาก Mandurah

เจ้าหน้าที่ยึดอุปกรณ์อิเล็กทรอนิกส์และวัสดุอื่น ๆ เพื่อนำไปตรวจพิสูจน์ทางนิติวิทยาศาสตร์ดิจิทัล 7

ทั้งสองคนมีกำหนดขึ้นศาล Perth Magistrates Court เมื่อวันที่ 27 สิงหาคม โดยรายงานข่าวสาธารณะระบุชื่อ Gaebler ว่า Louis Michael Gaebler ไม่ใช่เพียง “Michael Gaebler” ขณะที่ข่าวประชาสัมพันธ์ของ AFP ที่มีการตรวจสอบไม่ได้ระบุผลการพิจารณาประกันตัว ดังนั้นสถานะเรื่องการประกันตัวยังไม่ควรถูกสรุปว่าได้รับหรือถูกปฏิเสธ 7

ข้อหาที่ทั้งคู่เผชิญ

Thomson ถูกตั้งข้อหา 8 กระทง ได้แก่

• ครอบครองข้อมูลเพื่อใช้ในการกระทำความผิดทางคอมพิวเตอร์ โดยมีโทษสูงสุด 3 ปี
• แก้ไขข้อมูลโดยไม่ได้รับอนุญาตโดยมีเจตนาให้เกิดความผิดร้ายแรง 4 กระทง แต่ละกระทงมีโทษสูงสุด 5 ปี
• จัดหาหรือส่งมอบข้อมูลเพื่อใช้ในการกระทำความผิดทางคอมพิวเตอร์ โทษสูงสุด 3 ปี
• ไม่ปฏิบัติตามคำสั่งตามมาตรา 3LA โทษสูงสุด 10 ปี
• จัดการกับเงินหรือทรัพย์สินที่ถูกกล่าวหาว่าเป็นรายได้จากอาชญากรรมอย่างน้อย 100,000 ดอลลาร์ โทษสูงสุด 20 ปี

Gaebler ถูกตั้งข้อหา 6 กระทง ได้แก่ การครอบครองข้อมูล การแก้ไขข้อมูลโดยไม่ได้รับอนุญาต 4 กระทง และการจัดหาหรือส่งมอบข้อมูล โดยมีโทษสูงสุดตามประเภทความผิดอยู่ที่ 3 ปีและ 5 ปี 7

ตัวเลขดังกล่าวเป็น โทษสูงสุดตามกฎหมาย ไม่ได้หมายความว่าจะถูกลงโทษรวมกันทั้งหมด หรือเป็นโทษที่จำเลยจะได้รับหากศาลพิพากษาว่ามีความผิด

AFP กล่าวหาว่าโจมตีซัพพลายเชนซอฟต์แวร์อย่างไร

AFP ระบุว่า กลุ่มที่ถูกกล่าวหาว่าเป็น TeamPCP แทรกโค้ดอันตรายเข้าไปในซอฟต์แวร์จากคลังโอเพนซอร์ส จากนั้นนักพัฒนารายอื่นนำซอฟต์แวร์ที่ถูกแก้ไขไปใช้งานโดยไม่รู้ตัว ลักษณะนี้เรียกว่า การโจมตีซัพพลายเชนซอฟต์แวร์ เพราะผู้โจมตีไม่ได้เจาะทุกองค์กรโดยตรง แต่ใช้ซอฟต์แวร์ที่องค์กรเหล่านั้นไว้วางใจเป็นช่องทางแพร่กระจาย

ตามการประเมินของ AFP โค้ดดังกล่าวอาจทำให้องค์กรมากกว่า 1,000 แห่งทั่วโลกตกอยู่ในความเสี่ยง ขโมยข้อมูลรับรองมากกว่า 500,000 รายการ และดึงข้อมูลออกไปอย่างน้อย 300 กิกะไบต์ ขณะที่ต้นทุนการแก้ไขและเยียวยาความเสียหายอาจอยู่ในระดับหลายร้อยล้านดอลลาร์ 7

รายงานด้านความปลอดภัยไซเบอร์เชื่อมโยง TeamPCP กับเหตุโจมตีโครงการ Trivy, Checkmarx KICS และ LiteLLM รวมถึงเป้าหมายอื่น ๆ เช่น Mercor และโครงสร้างพื้นฐานที่เกี่ยวข้องกับ GitHub 36

กรณี Trivy ยังมีข้อมูลยืนยันจาก CERT-EU ซึ่งเป็นหน่วยงานรับมือเหตุการณ์ไซเบอร์ของสหภาพยุโรป โดยระบุว่าคณะกรรมาธิการยุโรปรายงานเหตุการณ์ร้ายแรงบนระบบคลาวด์ที่เชื่อมโยงกับการโจมตีซัพพลายเชนของ Trivy ดังนั้นผลกระทบในกรณีนี้จึงไม่ใช่เพียงความเป็นไปได้เชิงสมมติฐาน 1

ข้อกล่าวหาที่ยังยืนยันไม่ได้

แม้สื่อบางแห่งจะรายงานรายละเอียดเกี่ยวกับบทบาทของ Thomson และโครงสร้างของ TeamPCP แต่ข้อมูลที่มีอยู่ยังไม่เพียงพอสำหรับยืนยันข้ออ้างต่อไปนี้อย่างเป็นทางการ

• Thomson ใช้นามแฝงว่า “Ellis”
• Thomson เป็นผู้นำ TeamPCP จนถึงเดือนมีนาคม 2026
• Thomson มีรายได้ส่วนตัวประมาณ 20,000 ดอลลาร์
• TeamPCP เป็นกลุ่มแบบเพื่อนร่วมงานที่มีผู้ประสานงานหลักเพียงคนเดียว แทนที่จะเป็นโครงสร้างแบบลำดับชั้น

ข้ออ้างเหล่านี้ควรถูกมองว่าเป็น ข้อมูลที่ยังไม่ได้รับการยืนยัน จนกว่าจะมีเอกสารการแจ้งข้อหา หลักฐานในสำนวน หรือคำให้การภายใต้คำสาบานมารองรับ

งานวิจัยด้านความปลอดภัยบางส่วนยังเชื่อมโยง TeamPCP กับคลื่นการแพร่กระจายที่เรียกว่า “Mini Shai-Hulud” แต่ข้อมูลที่มีอยู่ยังไม่ถึงระดับที่จะสรุปได้อย่างแน่ชัดว่า TeamPCP เป็นผู้สร้างเวิร์ม Shai-Hulud ดั้งเดิม นอกจากนี้ การวิเคราะห์ที่ว่ากลุ่มดังกล่าวอาศัยการนำช่องโหว่และแนวคิดมัลแวร์ที่เปิดเผยต่อสาธารณะมาปรับใช้อย่างรวดเร็ว โดยมีความเชี่ยวชาญทางเทคนิคจำกัด ก็เป็นความเห็นเชิงวิเคราะห์ ไม่ใช่ข้อค้นพบที่ AFP ยืนยัน 3

ขั้นตอนต่อไปของคดี

AFP ระบุว่าการตรวจสอบข้อมูลจากอุปกรณ์ที่ยึดได้ยังดำเนินอยู่ และยังไม่ตัดความเป็นไปได้ที่จะมีการจับกุมหรือแจ้งข้อหาเพิ่มเติม 7

ทั้งนี้ การจับกุมและการตั้งข้อหาเป็นเพียงขั้นตอนของกระบวนการยุติธรรม ผู้ต้องหาทั้งสองยังถือว่าเป็นผู้บริสุทธิ์จนกว่าจะมีคำพิพากษาถึงที่สุด