TeamPCP 澳洲被捕案：兩名男子被控供應鏈攻擊，已知事實與未證指控一覽

目前可以確認的是：澳洲聯邦警察（AFP）聯同西澳警方，在美國聯邦調查局（FBI）協助下，拘捕兩名涉嫌參與 TeamPCP 的西澳男子，並提出合共 14 項控罪。不過，案件仍在調查及司法程序階段，以下不少內容仍只是警方或第三方提出的指控，並非法院已作出的裁決。

8 月 26 日發生了甚麼？

AFP、西澳警方及 FBI 人員在 Cottesloe、Hamilton Hill 和 Mandurah 執行搜查令，拘捕一名 21 歲 Cottesloe 男子及一名 23 歲 Mandurah 男子。警方檢取電子裝置及其他物料，現正進行法證分析；AFP 表示，調查仍可能帶來更多拘捕或控罪。7

公開報道將兩人列為 Ruben Ian Thomson（21 歲） 及 Louis Michael Gaebler（23 歲），因此「Michael Gaebler」並不是完整姓名。兩人原定於 8 月 27 日在珀斯裁判法院提堂。AFP 的公布沒有交代保釋決定，現有資料亦不足以確認兩人的保釋結果。7

兩人面對甚麼控罪？

Thomson：8 項控罪

Thomson 面對以下控罪：

• 一項管有用於電腦罪行的資料，法定最高刑罰為 3 年監禁；
• 四項涉嫌未經授權修改資料，並意圖促成嚴重罪行，每項法定最高刑罰為 5 年監禁；
• 一項供應用於電腦罪行的資料，法定最高刑罰為 3 年監禁；
• 一項未有遵從《刑事法》3LA 條命令，法定最高刑罰為 10 年監禁；
• 一項處理涉嫌來自犯罪活動、總值至少 10 萬澳元的收益，法定最高刑罰為 20 年監禁。7

Gaebler：6 項控罪

Gaebler 面對六項控罪，包括管有用於電腦罪行的資料、四項涉嫌未經授權修改資料，以及供應用於電腦罪行的資料。相關控罪的法定最高刑罰分別涉及 3 年及 5 年監禁。7

要留意，法定最高刑罰不代表兩人一旦被定罪就一定會被判這個刑期；不同控罪是否同期執行，以及最終刑罰，均須由法院按案件事實及法律決定。

警方指控的攻擊手法與規模

AFP 指稱，涉案集團將惡意程式碼植入開源軟件庫，令下游開發者在不知情下使用受污染的軟件。警方表示，相關活動可能影響全球超過 1,000 個機構，導致超過 50 萬組登入憑證被盜取，並外洩至少 300 GB 資料；補救成本則可能達數億美元。7

獨立保安研究及報道將 TeamPCP 與 Trivy、Checkmarx KICS 及 LiteLLM 的供應鏈入侵事件連繫起來，亦提到 Mercor 及與 GitHub 有關的基礎設施等其他疑似目標。36 CERT-EU 另證實，歐洲委員會曾報告一宗與 Trivy 供應鏈入侵有關的重大雲端事故，因此這部分不只是推測性的「可能受影響」說法。1

供應鏈攻擊的特點，是攻擊者不一定直接入侵每一間企業，而是先污染廣泛使用的軟件、套件或開發工具；當下游使用者更新或部署相關程式時，惡意程式碼便有機會一併進入其系統。

「Ellis」、主腦及收入說法是否已證實？

目前未有足夠的高權威資料確認以下說法：

• Thomson 使用「Ellis」這個化名；
• Thomson 一直領導 TeamPCP，直至 2026 年 3 月；
• Thomson 個人賺取約 2 萬美元；
• TeamPCP 是由一名中央領導者控制，而不是較鬆散的同儕式網絡。

除非日後有正式控告文件、宣誓證供或法院文件支持，否則以上內容應視為未經證實的歸因，而非已確立的事實。

TeamPCP 與 Shai-Hulud 的關係

保安研究將 TeamPCP 與一輪被稱為「Mini Shai-Hulud」的擴散活動連繫起來，但現有資料不足以用確定語氣證明 TeamPCP 是最初 Shai-Hulud 蠕蟲的創造者。3

同樣地，有分析認為該集團主要是迅速改用公開漏洞及現成惡意軟件概念，技術能力未必特別高；這屬研究人員的分析，並不是 AFP 已作出的調查結論。3

下一步會怎樣？

AFP 仍在檢驗已扣押的電子資料，並明確表示不排除再有拘捕或提出更多控罪。7 在法院作出裁決之前，兩人都應被視為尚未被定罪；現階段最穩妥的結論，是拘捕及控罪已獲確認，但有關 TeamPCP 的內部角色、化名、收入及完整運作模式，仍有待進一步證據及司法程序釐清。