Vụ bắt giữ TeamPCP hé lộ gì về chiến dịch tấn công chuỗi cung ứng phần mềm toàn cầu?

Cảnh sát Liên bang Australia (AFP) đã truy tố hai người đàn ông ở bang Tây Australia vì bị cáo buộc tham gia TeamPCP, nhóm tội phạm mạng bị cho là đã cài mã độc vào phần mềm nguồn mở đáng tin cậy. Vụ bắt giữ diễn ra ngày 26/8/2026 trong chiến dịch phối hợp giữa AFP, Cảnh sát Tây Australia và Cục Điều tra Liên bang Mỹ (FBI). 7

Điểm đáng chú ý của vụ án nằm ở phương thức tấn công: thay vì nhắm trực tiếp vào từng doanh nghiệp, kẻ tấn công bị cáo buộc đã làm nhiễm các công cụ mà lập trình viên và tổ chức khác sử dụng. Vì vậy, một hệ thống có thể bị phơi nhiễm chỉ vì cài đặt hoặc chạy một gói phần mềm đã bị sửa đổi. Dù vậy, các cáo buộc chưa được kiểm chứng tại tòa và nhiều chi tiết đang lan truyền về hai nghi phạm vẫn chưa có đủ cơ sở xác nhận.

Ai đã bị bắt?

AFP cho biết lực lượng chức năng đã bắt một người đàn ông 21 tuổi ở Cottesloe và một người 23 tuổi ở Mandurah. Các lệnh khám xét được thực hiện tại những địa điểm ở Cottesloe, Hamilton Hill và Mandurah, thuộc khu vực Perth. Thiết bị điện tử cùng nhiều tài liệu khác đã bị thu giữ để giám định pháp y. 7

Các nguồn tin công khai xác định hai người này là Ruben Ian Thomson và Louis Michael Gaebler. Khi cần nêu đầy đủ danh tính, không nên gọi Gaebler đơn giản là “Michael Gaebler”. Cả hai đã xuất hiện, hoặc được lên lịch xuất hiện, tại Tòa Sơ thẩm Perth ngày 27/8. 37

AFP cho biết quá trình giám định vẫn đang tiếp diễn và không loại trừ khả năng có thêm người bị bắt hoặc bị truy tố. Thông cáo hiện có không xác nhận kết quả xét bảo lãnh, vì vậy chưa thể khẳng định hai người được tại ngoại hay bị tạm giam.

Hai người đối mặt với 14 cáo buộc nào?

Tổng cộng, Thomson và Gaebler đối mặt với 14 cáo buộc. Theo AFP:

• Thomson bị cáo buộc 8 tội danh: sở hữu dữ liệu nhằm thực hiện tội phạm máy tính; 4 tội danh sửa đổi dữ liệu trái phép với ý định thực hiện một tội nghiêm trọng; cung cấp dữ liệu nhằm thực hiện tội phạm máy tính; không tuân thủ lệnh theo điều 3LA; và giao dịch với khoản tiền bị cáo buộc là tiền thu lợi từ tội phạm trị giá ít nhất 100.000 AUD.
• Gaebler bị cáo buộc 6 tội danh: sở hữu dữ liệu nhằm thực hiện tội phạm máy tính; 4 tội danh sửa đổi dữ liệu trái phép với ý định thực hiện một tội nghiêm trọng; và cung cấp dữ liệu nhằm thực hiện tội phạm máy tính. 7

Mức phạt tối đa được AFP nêu cho các cáo buộc của Thomson gồm 3 năm tù đối với tội sở hữu hoặc cung cấp dữ liệu, 5 năm cho mỗi tội sửa đổi dữ liệu trái phép, 10 năm vì không tuân thủ lệnh theo điều 3LA và 20 năm đối với cáo buộc liên quan đến tiền thu lợi từ tội phạm. Các cáo buộc về sở hữu, cung cấp và sửa đổi dữ liệu của Gaebler có những mức tối đa tương ứng. 7

Đây là mức phạt tối đa theo luật dành cho từng tội danh, không phải mức án dự kiến. Các mức phạt cũng không mặc nhiên được cộng dồn, và việc bị truy tố không đồng nghĩa với việc sẽ bị kết tội. Cả hai bị cáo đều được coi là vô tội cho đến khi được chứng minh là có tội.

TeamPCP bị cáo buộc đã tấn công theo cách nào?

AFP cáo buộc nhóm này đã chèn mã độc vào phần mềm trong các kho lưu trữ nguồn mở. Các nhà phát triển và tổ chức sau đó tiếp tục sử dụng những công cụ bị sửa đổi mà không nhất thiết biết chúng đã bị cài mã độc. Điều này được cho là giúp kẻ tấn công tiếp cận các hệ thống ở phía sau và thu thập thông tin nhạy cảm. 7

Theo ước tính của cảnh sát, chiến dịch này có thể đã:

• làm ảnh hưởng đến hơn 1.000 tổ chức trên toàn thế giới;
• tạo điều kiện đánh cắp hơn 500.000 thông tin xác thực;
• dẫn đến việc tuồn ra ngoài ít nhất 300 GB dữ liệu; và
• khiến chi phí khắc phục lên tới hàng trăm triệu USD. 7

Đây vẫn là các ước tính điều tra và cáo buộc, chưa phải bản tổng kết cuối cùng về số nạn nhân hoặc thiệt hại đã được xác nhận. Các báo cáo an ninh mạng riêng biệt đã liên hệ TeamPCP với những vụ xâm phạm liên quan đến Trivy, Checkmarx KICS và LiteLLM. Một số bài viết khác đề cập đến tác động bị cáo buộc đối với Mercor và hạ tầng liên quan đến GitHub. 36

Có bằng chứng nào về vụ việc liên quan đến Ủy ban châu Âu?

Có cơ sở rõ ràng hơn cho mối liên hệ giữa vụ xâm phạm Trivy và sự cố đám mây của Ủy ban châu Âu, thay vì chỉ gọi đây là một tác động “có thể xảy ra”. CERT-EU, cơ quan ứng phó sự cố mạng của Liên minh châu Âu, cho biết với mức độ tin cậy cao rằng quyền truy cập ban đầu vào môi trường đám mây liên quan đến Ủy ban châu Âu đến từ vụ xâm phạm chuỗi cung ứng Trivy, vốn trước đó đã được công khai quy cho tác nhân đe dọa TeamPCP. CERT-EU cũng cho biết một lượng dữ liệu đáng kể đã bị tuồn ra ngoài. 23

Điều này xác lập mối liên hệ được báo cáo giữa vụ xâm phạm Trivy và sự cố đám mây của Ủy ban châu Âu. Tuy nhiên, riêng thông tin đó chưa đủ để chứng minh mọi cáo buộc về vai trò cá nhân của hai bị cáo Australia trong sự cố này.

Những thông tin nào vẫn chưa được xác minh?

Một số chi tiết xuất hiện trong các bài viết ban đầu hoặc thảo luận trên mạng cần được nhìn nhận thận trọng, gồm:

• Thomson sử dụng bí danh “Ellis”;
• Thomson lãnh đạo TeamPCP cho đến tháng 3/2026;
• Thomson trực tiếp kiếm khoảng 20.000 USD;
• TeamPCP là một cộng đồng ngang hàng có một nhân vật trung tâm, thay vì một tổ chức có hệ thống phân cấp chính thức; và
• nhóm này đã tạo ra con sâu máy tính Shai-Hulud nguyên bản.

Các nghiên cứu an ninh mạng đã liên hệ TeamPCP với một đợt phát tán có tên “Mini Shai-Hulud”. Nhưng điều đó không đồng nghĩa với việc TeamPCP đã tạo ra mã độc Shai-Hulud ban đầu. Tương tự, nhận định rằng nhóm này thiếu tinh vi về kỹ thuật hoặc chủ yếu nhanh chóng tận dụng lại các lỗ hổng và ý tưởng mã độc công khai là phân tích của giới nghiên cứu, không phải kết luận được nêu trong thông báo truy tố của AFP. 3

Một số bài báo mô tả Thomson là lãnh đạo hoặc nhân vật chủ chốt. Tuy nhiên, những nguồn có thẩm quyền cao hiện chưa xác lập toàn bộ các chi tiết về danh tính trực tuyến, cơ cấu tổ chức và tài chính của nhóm. Các thông tin này có thể được làm rõ hơn qua hồ sơ truy tố, quá trình tố tụng hoặc các thông báo điều tra tiếp theo.

Điều gì sẽ xảy ra tiếp theo?

Trước mắt, cơ quan chức năng sẽ tiếp tục giám định các thiết bị và tài liệu thu giữ trong những cuộc khám xét. AFP cho biết công việc này đang được tiến hành, đồng thời không loại trừ các vụ bắt giữ hoặc cáo buộc bổ sung. 7

Vì vậy, bức tranh đã được xác nhận hiện hẹp hơn những mô tả rộng nhất về vụ án: hai người đàn ông đã bị truy tố với tổng cộng 14 cáo buộc trong một cuộc điều tra Australia-Mỹ về chiến dịch tấn công chuỗi cung ứng phần mềm có quy mô lớn. Tác động bị cáo buộc là nghiêm trọng, nhưng vai trò lãnh đạo cá nhân, bí danh, khoản tiền thu được và cơ cấu chính xác của TeamPCP vẫn chưa được giải quyết.