คดี TeamPCP สะเทือนวงการซอฟต์แวร์โลก: ออสเตรเลียตั้งข้อหาชาย 2 คน รวม 14 กระทง

ตำรวจสหพันธรัฐออสเตรเลีย (AFP) ระบุว่า ชาย 2 คนจากรัฐเวสเทิร์นออสเตรเลียถูกตั้งข้อหาเกี่ยวกับบทบาทที่ถูกกล่าวหาว่ามีต่อ TeamPCP กลุ่มอาชญากรรมไซเบอร์ที่ถูกกล่าวหาว่าแฝงโค้ดอันตรายไว้ในซอฟต์แวร์โอเพนซอร์สที่นักพัฒนาไว้วางใจ

การจับกุมเกิดขึ้นเมื่อวันที่ 26 สิงหาคม 2026 ในปฏิบัติการร่วมระหว่าง AFP ตำรวจรัฐเวสเทิร์นออสเตรเลีย และสำนักงานสอบสวนกลางสหรัฐฯ (FBI) 7

คดีนี้มีความสำคัญเพราะรูปแบบการโจมตีไม่ได้มุ่งเจาะระบบของเหยื่อทีละรายเท่านั้น แต่พุ่งเป้าไปที่เครื่องมือซอฟต์แวร์ซึ่งนักพัฒนาและองค์กรอื่นนำไปใช้งานต่อ หากเครื่องมือดังกล่าวถูกแก้ไขโดยไม่รู้ตัว ระบบปลายทางจำนวนมากก็อาจได้รับผลกระทบตามไปด้วย อย่างไรก็ตาม หลักฐานที่เปิดเผยต่อสาธารณะยังไม่ยืนยันรายละเอียดทั้งหมดที่มีการเผยแพร่เกี่ยวกับผู้ต้องหาและโครงสร้างของกลุ่ม และข้อกล่าวหายังไม่ได้รับการพิจารณาชี้ขาดในชั้นศาล

ใครถูกจับกุม?

AFP ระบุว่า เจ้าหน้าที่จับกุมชายวัย 21 ปีจาก Cottesloe และชายวัย 23 ปีจาก Mandurah หลังศาลอนุมัติหมายค้นสถานที่ใน Cottesloe, Hamilton Hill และ Mandurah เจ้าหน้าที่ยึดอุปกรณ์อิเล็กทรอนิกส์และวัตถุอื่น ๆ เพื่อนำไปตรวจพิสูจน์ทางนิติวิทยาศาสตร์ดิจิทัล 7

รายงานข่าวเปิดเผยชื่อผู้ต้องหาว่า Ruben Ian Thomson และ Louis Michael Gaebler ดังนั้นในกรณีที่ต้องใช้ชื่อเต็ม ไม่ควรเรียก Gaebler เพียงว่า “Michael Gaebler” ทั้งสองมีกำหนดปรากฏตัว หรือปรากฏตัวต่อศาลแขวงเพิร์ท เมื่อวันที่ 27 สิงหาคม 2026 37

AFP ระบุว่างานตรวจพิสูจน์หลักฐานยังดำเนินต่อไป และยังไม่ตัดความเป็นไปได้ที่จะมีการจับกุมหรือแจ้งข้อหาเพิ่มเติม ส่วนผลการประกันตัวที่แน่ชัดยังไม่ปรากฏในแถลงการณ์ของ AFP จึงไม่ควรสรุปผลดังกล่าวเป็นข้อเท็จจริง

ทั้ง 14 ข้อหาคืออะไร?

ผู้ต้องหาทั้งสองถูกตั้งข้อหารวม 14 กระทง ตามรายละเอียดของ AFP ดังนี้

• Thomson ถูกตั้งข้อหา 8 กระทง ได้แก่ ครอบครองข้อมูลเพื่อใช้ก่อความผิดเกี่ยวกับคอมพิวเตอร์, แก้ไขข้อมูลโดยไม่ได้รับอนุญาตโดยมีเจตนาก่อความผิดร้ายแรง 4 กระทง, จัดหาข้อมูลเพื่อใช้ก่อความผิดเกี่ยวกับคอมพิวเตอร์, ไม่ปฏิบัติตามคำสั่งตามมาตรา 3LA และจัดการกับทรัพย์สินที่เชื่อว่าเป็นเงินจากการกระทำความผิดมูลค่าอย่างน้อย 100,000 ดอลลาร์
• Gaebler ถูกตั้งข้อหา 6 กระทง ได้แก่ ครอบครองข้อมูลเพื่อใช้ก่อความผิดเกี่ยวกับคอมพิวเตอร์, แก้ไขข้อมูลโดยไม่ได้รับอนุญาตโดยมีเจตนาก่อความผิดร้ายแรง 4 กระทง และจัดหาข้อมูลเพื่อใช้ก่อความผิดเกี่ยวกับคอมพิวเตอร์ 7

โทษสูงสุดตามกฎหมายที่ AFP ระบุสำหรับข้อหาของ Thomson ได้แก่ จำคุก 3 ปีสำหรับข้อหาครอบครองหรือจัดหาข้อมูล, 5 ปีสำหรับข้อหาแก้ไขข้อมูลโดยไม่ได้รับอนุญาตแต่ละกระทง, 10 ปีสำหรับการไม่ปฏิบัติตามคำสั่งตามมาตรา 3LA และ 20 ปีสำหรับข้อหาเกี่ยวกับเงินจากการกระทำความผิด ส่วนข้อหาครอบครอง จัดหา และแก้ไขข้อมูลของ Gaebler มีโทษสูงสุดตามประเภทเดียวกัน 7

ตัวเลขเหล่านี้เป็นโทษสูงสุดตามกฎหมายของข้อหาแต่ละรายการ ไม่ได้หมายความว่าจำเลยจะได้รับโทษสูงสุดทุกข้อหา โทษจะถูกบวกกันโดยอัตโนมัติ หรือศาลจะพิพากษาว่ามีความผิด ทั้งสองยังถือเป็นผู้บริสุทธิ์จนกว่าจะพิสูจน์ได้ว่ามีความผิด

AFP กล่าวหาอย่างไรเกี่ยวกับปฏิบัติการของ TeamPCP?

AFP กล่าวหาว่ากลุ่มดังกล่าวแทรกโค้ดอันตรายเข้าไปในซอฟต์แวร์จากคลังโอเพนซอร์ส จากนั้นนักพัฒนาและองค์กรต่าง ๆ นำเครื่องมือที่ถูกแก้ไขไปใช้งานโดยอาจไม่รู้ตัว ทำให้ผู้โจมตีสามารถเข้าถึงระบบปลายทางและขโมยข้อมูลสำคัญได้ 7

ตำรวจประเมินว่าปฏิบัติการนี้อาจส่งผลให้เกิดเหตุการณ์ต่อไปนี้

• กระทบองค์กรทั่วโลกมากกว่า 1,000 แห่ง
• ทำให้มีการขโมยข้อมูลรับรองตัวตนมากกว่า 500,000 รายการ
• มีการนำข้อมูลออกจากระบบอย่างน้อย 300 กิกะไบต์
• ทำให้เกิดค่าใช้จ่ายในการแก้ไขและกู้คืนระบบรวมกันในระดับ หลายร้อยล้านดอลลาร์ 7

ตัวเลขเหล่านี้เป็นประมาณการระหว่างการสอบสวนและข้อกล่าวหา ยังไม่ใช่ยอดสรุปสุดท้ายของผู้เสียหายหรือความเสียหายที่ได้รับการยืนยันทั้งหมด รายงานด้านความปลอดภัยไซเบอร์แยกต่างหากเชื่อมโยง TeamPCP กับเหตุโจมตีที่เกี่ยวข้องกับ Trivy, Checkmarx KICS และ LiteLLM รวมถึงรายงานผลกระทบที่ถูกกล่าวหาต่อองค์กรอย่าง Mercor และโครงสร้างพื้นฐานที่เกี่ยวข้องกับ GitHub 36

คณะกรรมาธิการยุโรปได้รับผลกระทบหรือไม่?

หลักฐานที่มีอยู่สนับสนุนความเชื่อมโยงกับคณะกรรมาธิการยุโรปมากกว่าการเรียกว่าเป็นเพียง “ความเป็นไปได้” CERT-EU ซึ่งเป็นหน่วยงานรับมือเหตุการณ์ความปลอดภัยไซเบอร์ของสหภาพยุโรป ระบุว่า มีความเชื่อมั่นสูงว่าการเข้าถึงสภาพแวดล้อมคลาวด์ที่เกี่ยวข้องกับคณะกรรมาธิการยุโรปในระยะแรกเกิดขึ้นผ่านการโจมตีซัพพลายเชนของ Trivy ซึ่งก่อนหน้านี้มีการเปิดเผยต่อสาธารณะว่าเชื่อมโยงกับผู้โจมตีที่รู้จักกันในชื่อ TeamPCP นอกจากนี้ CERT-EU ยังรายงานว่ามีข้อมูลจำนวนมากถูกนำออกจากระบบ 23

ข้อมูลนี้ยืนยันความเชื่อมโยงที่มีการรายงานระหว่างการเจาะ Trivy กับเหตุการณ์ในคลาวด์ของคณะกรรมาธิการยุโรป แต่เพียงเท่านี้ยังไม่สามารถพิสูจน์ข้อกล่าวหาทั้งหมดเกี่ยวกับการมีส่วนร่วมโดยตรงของผู้ต้องหาชาวออสเตรเลียทั้งสองในเหตุการณ์ดังกล่าวได้

รายละเอียดใดที่ยังไม่ยืนยัน?

ข้อกล่าวหาบางประเด็นที่ปรากฏในรายงานช่วงแรกหรือการพูดคุยบนโลกออนไลน์ควรพิจารณาด้วยความระมัดระวัง ได้แก่

• Thomson ใช้นามแฝงว่า “Ellis”
• เขาเป็นผู้นำ TeamPCP จนถึงเดือนมีนาคม 2026
• เขาได้รับเงินส่วนตัวประมาณ 20,000 ดอลลาร์
• TeamPCP เป็นชุมชนแบบเพื่อนร่วมกลุ่มที่มีบุคคลศูนย์กลางเพียงคนเดียว แทนที่จะเป็นองค์กรที่มีลำดับชั้นอย่างเป็นทางการ
• กลุ่มนี้เป็นผู้สร้างเวิร์ม Shai-Hulud รุ่นดั้งเดิม

งานวิจัยด้านความปลอดภัยเชื่อมโยง TeamPCP กับการแพร่กระจายที่เรียกว่า “Mini Shai-Hulud” แต่เรื่องนี้ไม่เท่ากับการยืนยันว่า TeamPCP เป็นผู้สร้างมัลแวร์ Shai-Hulud รุ่นดั้งเดิม เช่นเดียวกัน การอธิบายว่ากลุ่มมีความเชี่ยวชาญทางเทคนิคจำกัด หรือพึ่งพาการนำช่องโหว่และแนวคิดมัลแวร์ที่เผยแพร่สู่สาธารณะมาปรับใช้โดยรวดเร็ว เป็นการวิเคราะห์ ไม่ใช่ข้อค้นพบที่ระบุไว้ในประกาศตั้งข้อหาของ AFP 3

สื่อบางแห่งเรียก Thomson ว่าเป็นผู้นำหรือผู้มีบทบาทหลัก แต่ข้อมูลจากแหล่งที่มีอำนาจสูงซึ่งเปิดเผยในขณะนี้ยังไม่ยืนยันรายละเอียดทั้งหมดเกี่ยวกับตัวตน โครงสร้างองค์กร และผลประโยชน์ทางการเงิน ข้อมูลเหล่านี้อาจชัดเจนขึ้นเมื่อมีการเปิดเผยเอกสารข้อกล่าวหา การดำเนินคดีในศาล หรือประกาศจากการสอบสวนเพิ่มเติม

ขั้นตอนต่อไปคืออะไร?

ขั้นตอนเร่งด่วนคือการตรวจพิสูจน์อุปกรณ์และวัตถุอื่น ๆ ที่ยึดได้จากการตรวจค้น AFP ระบุว่างานดังกล่าวยังดำเนินอยู่ และยังมีความเป็นไปได้ที่จะมีการจับกุมหรือแจ้งข้อหาเพิ่มเติม 7

ภาพรวมที่ยืนยันได้ในตอนนี้จึงแคบกว่าคำอธิบายที่รุนแรงที่สุดของคดี: ชาย 2 คนถูกตั้งข้อหาความผิดที่ถูกกล่าวหารวม 14 กระทง ในการสอบสวนร่วมระหว่างออสเตรเลียและสหรัฐฯ เกี่ยวกับปฏิบัติการโจมตีซัพพลายเชนซอฟต์แวร์ขนาดใหญ่ ผลกระทบที่ถูกกล่าวหามีขนาดมาก แต่ประเด็นเรื่องผู้นำ นามแฝง เงินรายได้ และโครงสร้างที่แท้จริงของ TeamPCP ยังต้องรอหลักฐานเพิ่มเติม