TeamPCP soruşturması, yazılım tedarik zinciri saldırılarının küresel boyutunu ortaya koyuyor

Avustralya Federal Polisi (AFP), açık kaynak yazılımlara kötü amaçlı kod yerleştirerek küresel ölçekte veri çaldığı öne sürülen TeamPCP adlı siber suç grubuyla bağlantılı iki Batı Avustralyalı erkek hakkında toplam 14 suçlama yöneltti. Operasyon, AFP, Batı Avustralya Polisi ve ABD Federal Soruşturma Bürosu’nun (FBI) ortak çalışmasıyla 26 Ağustos 2026’da gerçekleştirildi. 7

Soruşturmanın merkezinde, geliştiricilerin ve kurumların güvenilir olduğunu düşünerek kullandığı yazılım araçlarının değiştirilmesi var. Böylece saldırganlar, doğrudan hedef almak yerine ele geçirilmiş bir paket veya aracı kullanan başka sistemlere ulaşabiliyor. Ancak şüphelilerin kişisel rolleri ve grubun iç yapısına ilişkin bazı ayrıntılar henüz mahkemede test edilmiş değil. Sanıklar, suçları kanıtlanıncaya kadar masum kabul ediliyor.

Kimler suçlandı?

AFP, Cottesloe, Hamilton Hill ve Mandurah’daki adreslerde arama yaptıktan sonra 21 yaşındaki Cottesloe sakini Ruben Ian Thomson ile 23 yaşındaki Mandurah sakini Louis Michael Gaebler’ı gözaltına aldı. Elektronik cihazlar ve başka materyaller adli bilişim incelemesi için el konularak götürüldü. 7

Kamuya açık haberlerde bu kişiler Ruben Ian Thomson ve Louis Michael Gaebler olarak tanımlanıyor. Gaebler’dan, tam adının önemli olduğu durumlarda yalnızca “Michael Gaebler” diye söz edilmesi doğru değil. İkilinin 27 Ağustos’ta Perth Sulh Ceza Mahkemesi’ne çıktığı veya çıkmasının planlandığı bildirildi. 37

AFP, cihazlar üzerindeki adli incelemenin sürdüğünü ve yeni gözaltı ya da suçlamaların gündeme gelebileceğini belirtiyor. Mevcut kaynaklarda kesinleşmiş kefalet sonuçları yer almadığı için bu konuda doğrulanmamış bir sonucu kesin gerçek gibi aktarmak mümkün değil.

14 suçlama ne içeriyor?

İki sanık hakkındaki toplam 14 suçlama şu şekilde sıralanıyor:

• Thomson’a yöneltilen sekiz suçlama: Bir bilgisayar suçunda kullanılmak üzere veri bulundurma; ciddi bir suç işleme amacıyla izinsiz veri değiştirmeye ilişkin dört ayrı suç; bir bilgisayar suçunda kullanılmak üzere veri sağlama; 3LA bölümü kapsamındaki emre uymama; ve en az 100.000 Avustralya doları olduğu öne sürülen suç gelirleriyle işlem yapma.
• Gaebler’a yöneltilen altı suçlama: Bir bilgisayar suçunda kullanılmak üzere veri bulundurma; ciddi bir suç işleme amacıyla izinsiz veri değiştirmeye ilişkin dört suç; ve bir bilgisayar suçunda kullanılmak üzere veri sağlama. 7

AFP’nin aktardığı yasal azami cezalar arasında Thomson için veri bulundurma veya sağlama suçlarında üçer yıl, izinsiz veri değiştirme suçlarının her birinde beşer yıl, 3LA emrine uymama suçunda 10 yıl ve suç gelirleriyle ilgili suçlamada 20 yıl hapis bulunuyor. Gaebler hakkındaki veri bulundurma, veri sağlama ve veri değiştirme suçları için de ilgili üç ve beş yıllık azami cezalar geçerli. 7

Bunlar, tek tek suçlar için kanunda öngörülen üst sınırlardır. İki sanığın bu cezaları alacağı, cezaların otomatik olarak toplanacağı veya mahkûmiyet kararı çıkacağı anlamına gelmez.

TeamPCP’nin kampanyası nasıl işliyordu?

AFP’nin iddiasına göre grup, açık kaynak kod depolarındaki yazılımlara kötü amaçlı kod ekledi. Geliştiriciler ve kurumlar, değiştirilmiş araçları bu durumdan habersiz biçimde kullanmış olabilir. Bu yöntem, saldırganların söz konusu araçları kullanan daha geniş bir sistem ağına ulaşmasına ve hassas bilgileri toplamasına imkân vermiş olabilir. 7

Polisin tahminine göre kampanya:

• dünya genelinde 1.000’den fazla kuruluşu potansiyel olarak etkiledi;
• 500.000’den fazla kimlik bilgisinin çalınmasını mümkün kıldı;
• en az 300 gigabayt verinin dışarı çıkarılmasına yol açtı; ve
• düzeltme ve kurtarma maliyetlerini yüz milyonlarca dolar seviyesine taşıdı. 7

Bunlar soruşturma kapsamında ortaya konan tahmin ve iddialar; doğrulanmış mağdur veya toplam zarar hesabı olarak değerlendirilmemeli. Bağımsız güvenlik raporları TeamPCP’yi Trivy, Checkmarx KICS ve LiteLLM’e yönelik ihlallerle ilişkilendiriyor. Mercor ve GitHub bağlantılı altyapı da diğer haberlerde adı geçen olası hedefler arasında bulunuyor. 36

Avrupa Komisyonu etkilendi mi?

Avrupa Komisyonu ile bağlantı konusunda, yalnızca “etkilenmiş olabilir” ifadesinden daha güçlü bir kayıt bulunuyor. CERT-EU, Komisyon’la bağlantılı bulut ortamına ilk erişimin, kamuoyunda TeamPCP’ye atfedilen Trivy tedarik zinciri ihlali üzerinden sağlandığını yüksek güven düzeyiyle değerlendirdi. Kurum ayrıca önemli miktarda verinin dışarı çıkarıldığını bildirdi. 23

Bu açıklama, Trivy ihlali ile Avrupa Komisyonu’nun bulut olayını birbirine bağlayan resmi bir kayıt oluşturuyor. Ancak tek başına, Avustralya’da suçlanan kişilerin bu olayda bizzat rol aldığını kanıtlamıyor.

Hangi iddialar henüz doğrulanmadı?

İlk haberlerde ve çevrim içi tartışmalarda yer alan bazı ayrıntılar temkinli ele alınmalı:

• Thomson’ın “Ellis” takma adını kullandığı;
• Mart 2026’ya kadar TeamPCP’nin lideri olduğu;
• kişisel olarak yaklaşık 20.000 dolar kazandığı;
• TeamPCP’nin resmi bir hiyerarşi yerine, tek bir merkezi figürün bulunduğu bir akran topluluğu olarak işlediği; ve
• grubun orijinal Shai-Hulud solucanını oluşturduğu.

Güvenlik araştırmaları TeamPCP’yi “Mini Shai-Hulud” adı verilen bir yayılma dalgasıyla ilişkilendiriyor. Ancak bu bağlantı, grubun orijinal Shai-Hulud zararlısını oluşturduğunu kanıtlamıyor. Benzer şekilde, grubun teknik açıdan sınırlı olduğu ve kamuya açık istismar yöntemleriyle zararlı yazılım fikirlerini hızla yeniden kullandığı yönündeki değerlendirmeler, AFP’nin suçlama açıklamasında yer alan kesin bulgular değil, analitik yorum niteliğinde. 3

Bazı medya kuruluşları Thomson’ı grubun lideri veya başlıca katılımcısı olarak tanımlıyor. Buna karşın mevcut yüksek güvenilirlikli kaynaklar, kimlik, örgütlenme biçimi ve para akışıyla ilgili daha ayrıntılı iddiaların tamamını doğrulamıyor. Bu noktalar, iddianameler, mahkeme süreci veya yeni soruşturma açıklamalarıyla netleşebilir.

Soruşturmada sırada ne var?

İlk aşamada polis, aramalarda ele geçirilen cihaz ve materyallerin adli bilişim incelemesini sürdürecek. AFP, çalışmanın devam ettiğini ve ek gözaltı ya da suçlamaların ihtimal dışı bırakılmadığını söylüyor. 7

Şu an doğrulanabilen tablo, davayla ilgili en geniş yorumlardan daha sınırlı: İki erkek, büyük bir yazılım tedarik zinciri kampanyasıyla bağlantılı olduğu öne sürülen toplam 14 suçlama kapsamında yargı süreciyle karşı karşıya. İddia edilen etkinin ölçeği büyük olsa da Thomson’ın liderliği, kullandığı takma ad, elde ettiği para ve TeamPCP’nin kesin örgütlenme biçimi henüz çözüme kavuşmuş değil.