Cảnh sát Australia bắt hai người bị cáo buộc liên quan đến chiến dịch tấn công chuỗi cung ứng của TeamPCP

Hai nghi phạm bị bắt sau các cuộc khám xét

Ngày 26/8/2026, Cảnh sát Liên bang Australia (AFP) phối hợp với Cảnh sát bang Tây Australia và Cục Điều tra Liên bang Mỹ (FBI) khám xét các bất động sản tại Cottesloe, Hamilton Hill và Mandurah. Hai người đàn ông lần lượt 21 và 23 tuổi bị bắt, trong khi các thiết bị điện tử cùng nhiều vật chứng khác được thu giữ để giám định pháp y. 7

Các bản tin công khai xác định hai người là Ruben Ian Thomson, 21 tuổi, cư trú tại Cottesloe, và Louis Michael Gaebler, 23 tuổi, cư trú tại Mandurah. Tên đầy đủ của người thứ hai là Louis Michael Gaebler, không chỉ đơn giản là “Michael Gaebler”. Cả hai dự kiến xuất hiện tại Tòa Sơ thẩm Perth ngày 27/8. Thông cáo của AFP không nêu kết quả quyết định về việc tại ngoại, vì vậy thông tin này hiện chưa được xác nhận. 7

Các cáo buộc đối với hai người

Thomson đối mặt với 8 cáo buộc, gồm:

• Sở hữu dữ liệu phục vụ hành vi phạm tội máy tính, với mức phạt tối đa theo luật là 3 năm tù;
• 4 cáo buộc sửa đổi dữ liệu trái phép nhằm thực hiện một tội nghiêm trọng, mỗi cáo buộc có mức tối đa 5 năm tù;
• Cung cấp dữ liệu phục vụ hành vi phạm tội máy tính, tối đa 3 năm tù;
• Không tuân thủ lệnh theo điều 3LA, tối đa 10 năm tù;
• Giao dịch với ít nhất 100.000 AUD tiền bị cáo buộc là tiền thu được từ hành vi phạm tội, tối đa 20 năm tù.

Gaebler đối mặt với 6 cáo buộc, gồm sở hữu dữ liệu, 4 cáo buộc sửa đổi dữ liệu trái phép và cung cấp dữ liệu phục vụ hành vi phạm tội máy tính. Các mức phạt tối đa tương ứng là 3 năm và 5 năm tù theo từng nhóm cáo buộc. 7

Các mức phạt trên là mức tối đa theo luật, không đồng nghĩa với việc các mức án sẽ được cộng dồn hoặc hai bị cáo chắc chắn phải nhận mức án đó nếu bị kết tội.

AFP cáo buộc chiến dịch đã ảnh hưởng trên phạm vi toàn cầu

Theo AFP, nhóm tội phạm bị cáo buộc đã chèn mã độc vào phần mềm trong các kho mã nguồn mở. Những phần mềm này sau đó có thể được các nhà phát triển khác sử dụng mà không biết đã bị can thiệp.

Cơ quan này cho rằng chiến dịch có khả năng xâm phạm hơn 1.000 tổ chức trên toàn cầu, đánh cắp hơn 500.000 thông tin xác thực và lấy đi ít nhất 300 GB dữ liệu. AFP cũng nói chi phí khắc phục hậu quả có thể lên tới hàng trăm triệu USD. Đây là các cáo buộc của cơ quan điều tra, chưa phải kết luận của tòa án. 7

Những dự án được nhắc đến

Các báo cáo độc lập về an ninh mạng quy trách nhiệm cho TeamPCP trong những vụ xâm phạm chuỗi cung ứng liên quan đến Trivy, Checkmarx KICS và LiteLLM. Một số bài viết cũng đề cập những mục tiêu bị cáo buộc khác, trong đó có Mercor và hạ tầng liên quan đến GitHub. 36

Một sự cố có liên quan đã được CERT-EU, cơ quan an ninh mạng của Liên minh châu Âu, xác nhận. Theo CERT-EU, Ủy ban châu Âu báo cáo một sự cố nghiêm trọng trên nền tảng đám mây, với quyền truy cập ban đầu được đánh giá có độ tin cậy cao là bắt nguồn từ vụ xâm phạm chuỗi cung ứng Trivy được công khai quy cho tác nhân TeamPCP. Vì vậy, tác động đến hệ thống của Ủy ban châu Âu không chỉ là một khả năng được suy đoán. 1

Điều gì vẫn chưa được chứng minh?

Hiện chưa có đủ bằng chứng từ AFP hoặc các tài liệu có thẩm quyền khác để khẳng định những chi tiết sau:

• Thomson sử dụng bí danh “Ellis”;
• Thomson là thủ lĩnh TeamPCP cho đến tháng 3/2026;
• Thomson trực tiếp kiếm khoảng 20.000 USD;
• TeamPCP vận hành như một nhóm đồng cấp có một nhân vật trung tâm, thay vì một cấu trúc phân cấp.

Những thông tin này cần được xem là chưa được xác minh, trừ khi được củng cố bằng cáo trạng, tài liệu tố tụng hoặc lời khai tuyên thệ.

Mối liên hệ với “Mini Shai-Hulud”

Một số nghiên cứu an ninh mạng liên hệ TeamPCP với làn sóng phát tán mang tên “Mini Shai-Hulud”. Tuy nhiên, các tài liệu hiện có chưa đủ để khẳng định TeamPCP tạo ra sâu máy tính Shai-Hulud ban đầu.

Tương tự, nhận định rằng nhóm này chủ yếu nhanh chóng tái sử dụng các lỗ hổng và ý tưởng mã độc công khai, trong khi năng lực kỹ thuật không quá tinh vi, là phân tích của giới nghiên cứu chứ không phải kết luận được AFP nêu trong thông cáo. 3

Cuộc điều tra vẫn tiếp diễn

AFP cho biết việc phân tích pháp y dữ liệu từ các thiết bị bị thu giữ đang được tiến hành. Cơ quan này cũng chưa loại trừ khả năng có thêm người bị bắt hoặc phát sinh thêm cáo buộc. 7

Cho đến thời điểm hiện tại, điều được xác nhận là hai người đàn ông đã bị bắt và bị truy tố tổng cộng 14 cáo buộc. Các cáo buộc về vai trò cụ thể của họ trong TeamPCP, mức độ chỉ huy cũng như lợi ích tài chính cá nhân vẫn phải được kiểm chứng qua quá trình tố tụng. Hai người được coi là chưa có tội cho đến khi tòa án đưa ra phán quyết khác.