TeamPCP 供應鏈攻擊案：澳洲警方逮捕兩名西澳男子，已知指控與未獲證實說法一次看

這起案件目前可以確定的是：兩名西澳男子已遭澳洲聯邦警察（AFP）逮捕並被提出刑事指控；但網路與媒體流傳的部分細節，包括誰是 TeamPCP 的核心人物、是否使用「Ellis」化名、獲利多少，以及兩人的保釋結果，仍不能視為已被法院認定的事實。

逮捕與搜索行動

AFP 表示，警方於 2026 年 8 月 26 日展開行動，與西澳大利亞警察合作，並獲美國聯邦調查局（FBI）協助，在 Cottesloe、Hamilton Hill 和 Mandurah 的數處住宅執行搜索令。行動中扣押了電子裝置及其他材料，後續將進行數位鑑識。7

公開報導確認，被捕者是 21 歲的 Ruben Ian Thomson 和 23 歲的 Louis Michael Gaebler。因此，Gaebler 的完整姓名是 Louis Michael Gaebler，而不只是「Michael Gaebler」。兩人原定於 8 月 27 日在珀斯裁判法院（Perth Magistrates Court）出庭；AFP 的公開聲明沒有交代保釋決定，因此目前無法確認兩人的保釋結果。7

兩人面臨哪些指控？

Thomson 面臨 8 項指控，包括：

• 持有供電腦犯罪使用的資料，最高可判 3 年徒刑；
• 4 項未經授權修改資料、意圖促成嚴重犯罪的罪名，每項最高 5 年徒刑；
• 提供供電腦犯罪使用的資料，最高可判 3 年徒刑；
• 未遵守《犯罪法》相關第 3LA 條命令，最高可判 10 年徒刑；
• 處理涉嫌犯罪所得至少 10 萬澳元的罪名，最高可判 20 年徒刑。7

Gaebler 則面臨 6 項指控，包括持有供電腦犯罪使用的資料、4 項涉嫌未經授權修改資料的罪名，以及提供相關資料的罪名；相應的法定最高刑期為 3 年或 5 年。7

這些數字是各罪名的法定最高刑，不代表法院一定會判處該刑期，也不代表刑期必然全部累加。兩人目前只是被控犯罪，尚未被法院判定有罪。

AFP 指稱的攻擊方式與規模

AFP 指稱，相關犯罪集團把惡意程式碼植入開源軟體專案，之後由下游開發者在不知情的情況下使用受污染的軟體。警方表示，這項行動可能影響全球超過 1,000 個組織，讓攻擊者竊取超過 50 萬組憑證，並外傳至少 300GB 資料；後續修復與應變成本則可能達到數億美元。7

獨立資安報導將 TeamPCP 與 Trivy、Checkmarx KICS 及 LiteLLM 等專案的供應鏈入侵事件連結起來，另提到 Mercor 及與 GitHub 相關的基礎設施可能受到波及。36

其中，歐盟網路安全事件應變小組（CERT-EU）另行確認，歐盟執委會曾通報一起重大雲端事件，並評估初始入侵高度可能與 Trivy 供應鏈遭入侵有關。這表示該事件不只是尚未證實的「可能影響」；不過，這項確認本身並不等於已在法院程序中證明兩名被告涉案。1

哪些說法目前仍不能確定？

目前可取得的 AFP 聲明與較高權威資料，尚不足以確認以下說法：

• Thomson 使用「Ellis」作為化名；
• Thomson 一直是 TeamPCP 的領導者，直到 2026 年 3 月才卸任；
• Thomson 個人從相關行動中賺取約 2 萬美元；
• TeamPCP 是由一名核心人物領導，而不是較鬆散的協作團體；
• 兩人的具體保釋條件或是否獲准保釋。

這些內容若沒有起訴文件、宣誓證詞或法院紀錄支持，應視為尚待查證的歸因或分析，而非已確立的案件事實。

與「Shai-Hulud」的關聯也需區分

資安研究人員將 TeamPCP 與名為「Mini Shai-Hulud」的傳播活動連結，但現有資料不足以用確定語氣宣稱 TeamPCP 創造了最初的 Shai-Hulud 蠕蟲。3

同樣地，認為該團體主要是快速改造公開漏洞利用工具與既有惡意軟體概念、技術能力相對有限，屬於研究人員的分析性評論，並不是 AFP 已作出的正式認定。3

後續發展

AFP 表示，對扣押資料的鑑識工作仍在進行，並明確指出不排除後續逮捕或追加指控的可能性。7 因此，TeamPCP 的實際組織結構、涉案範圍，以及兩名被告與各起供應鏈事件之間的具體關係，仍可能隨調查與法院程序推進而改變。