澳洲聯邦警察（AFP）表示，兩名來自西澳的男子因涉嫌參與 TeamPCP 而被起訴。TeamPCP 被指控將惡意程式碼植入可信賴的開源軟體，讓下游開發者與組織在不知情的情況下使用遭竄改的工具，進而暴露系統與敏感資料。這次行動由 AFP、西澳警察部隊（WAPF）及美國聯邦調查局（FBI）共同合作，並於 2026 年 8 月 26 日展開。 7

案件之所以受到關注，在於攻擊者瞄準的不是單一企業，而是其他開發者依賴的軟體與套件。只要組織採用了遭污染的工具，就可能成為攻擊鏈中的下一個環節。不過，目前公開資料仍不足以證實外界流傳的每一項細節；相關指控也尚未經法院審理裁決。

誰被逮捕？

AFP 表示，警員在 Cottesloe、Hamilton Hill 及 Mandurah 的多處房產執行搜索令後，逮捕一名 21 歲、來自 Cottesloe 的男子，以及一名 23 歲、來自 Mandurah 的男子。警方扣押了電子裝置及其他資料，並送交鑑識分析。 7

公開報導將兩人指認為 Ruben Ian Thomson 與 Louis Michael Gaebler。在需要使用全名的情況下，Gaebler 不應僅被稱為「Michael Gaebler」。兩人於 8 月 27 日出庭，或原定於當日在珀斯裁判法院（Perth Magistrates Court）出庭。 37

AFP 表示，數位鑑識工作仍在進行，不排除日後再有人被逮捕或遭提出控罪。至於保釋結果，AFP 公告並未提供足夠確認資料，因此目前不應將任何保釋安排當作已確定事實。

兩人面臨哪些 14 項控罪？

兩人合計面臨 14 項罪名。依 AFP 公布的資料：

• Thomson 面臨 8 項控罪： 持有供電腦犯罪使用的資料；4 項意圖犯下嚴重罪行而未經授權修改資料；提供供電腦犯罪使用的資料；未遵守第 3LA 條命令；以及處理涉嫌犯罪所得至少 10 萬澳元。
• Gaebler 面臨 6 項控罪： 持有供電腦犯罪使用的資料；4 項意圖犯下嚴重罪行而未經授權修改資料；以及提供供電腦犯罪使用的資料。 7

AFP 所列的個別罪名法定最高刑期包括：持有或提供相關資料最高 3 年；每項未經授權修改資料罪最高 5 年；未遵守第 3LA 條命令最高 10 年；涉嫌處理犯罪所得罪最高 20 年。Gaebler 所涉及的持有、提供及修改資料罪名，也有相應的 3 年及 5 年法定最高刑期。 7

這些是個別罪名的法定最高刑期，不是兩人的預期刑期，也不代表刑期必然全部相加，更不代表兩人一定會被定罪。在法院證明有罪之前，兩人均依法推定無罪。

TeamPCP 被指控如何發動攻擊？

AFP 指稱，這個犯罪集團將惡意程式碼插入開源程式碼儲存庫中的軟體。開發者及組織隨後可能在不知情的情況下使用遭修改的工具，讓攻擊者得以進一步滲透下游系統並竊取敏感資訊。 7

警方表示，這場攻擊行動可能造成：

• 全球超過 1,000 個組織遭到波及；
• 超過 50 萬組認證資料被竊取；
• 至少 300 GB 資料遭外傳；以及
• 後續修復成本達到數億美元。 7

上述數字是調查階段的估算與指控，並非已完成核實的受害者或損失總額。獨立資安報導則將 TeamPCP 與 Trivy、Checkmarx KICS 及 LiteLLM 等專案遭入侵事件連結；另有報導提到 Mercor 及與 GitHub 相關的基礎設施可能受到影響。 36

歐盟執委會是否受到影響？

目前，TeamPCP 與歐盟執委會事件之間存在比「可能受影響」更明確的公開連結。歐盟電腦緊急應變小組（CERT-EU）表示，有高度信心判斷，歐盟執委會相關雲端環境的初始入侵途徑，是遭公開歸因於 TeamPCP 的 Trivy 供應鏈遭入侵事件；CERT-EU 也表示，有大量資料遭到外傳。 23

這項說明確立了 Trivy 受污染事件與歐盟執委會雲端事故之間的報告連結。但這本身並不能證明澳洲被告個人一定涉入該事故，也不能自動證實針對兩人的所有其他指控。

哪些說法仍未獲證實？

早期報導或網路討論中，有幾項具體說法應審慎看待：

• Thomson 使用 「Ellis」 作為化名；
• 他一直領導 TeamPCP，直到 2026 年 3 月；
• 他個人獲利約 2 萬美元；
• TeamPCP 是由一名核心人物帶領的同儕社群，而非正式層級組織；以及
• TeamPCP 創造了最初的 Shai-Hulud 蠕蟲。

資安研究確實將 TeamPCP 與一波稱為 「Mini Shai-Hulud」 的傳播活動連結起來，但這不等於已證明 TeamPCP 創造了最初的 Shai-Hulud 惡意軟體。同樣地，將該團體形容為技術能力有限、主要依靠快速改用公開漏洞與既有惡意軟體概念，屬於分析性判斷，而非 AFP 起訴公告中的既定結論。 3

部分媒體報導稱 Thomson 是 TeamPCP 的領導者或主要參與者，但目前較具權威的公開資料，尚未證實有關其身分、組織角色與財務收益的所有細節。這些問題可能要等到起訴文件、法院程序或後續調查公告發布後，才會更加明朗。

歐盟執委會事件與澳洲被告的關係，應如何理解？

現有資料支持以下較為謹慎的說法：CERT-EU 認定歐盟執委會雲端環境的初始入侵，與遭 TeamPCP 歸因的 Trivy 供應鏈事件有高度信心的關聯。 23

但「事件與 TeamPCP 有關」與「澳洲兩名被告親自參與該事件」是兩個不同層次的命題。後者仍須由調查證據與法院程序進一步確認，不能僅憑供應鏈事件的歸因就直接下定論。

接下來會發生什麼？

眼前的下一步，是對搜索期間扣押的電子裝置及其他資料進行鑑識分析。AFP 表示，相關工作仍在持續，也明確表示不排除追加逮捕或提出更多控罪。 7

目前可以確認的案件輪廓，比部分最廣泛的描述更為有限：兩名男子在澳洲與美國合作調查中，被控涉及一場大規模軟體供應鏈攻擊，合計面臨 14 項涉嫌犯罪。案件所指的影響規模相當龐大，但有關誰是核心領導者、是否使用特定化名、涉案金錢及團體確切架構等問題，仍有待進一步證據釐清。

澳洲聯邦警察（AFP）表示，兩名來自西澳的男子因涉嫌參與 TeamPCP 而被起訴。TeamPCP 被指控將惡意程式碼植入可信賴的開源軟體，讓下游開發者與組織在不知情的情況下使用遭竄改的工具，進而暴露系統與敏感資料。這次行動由 AFP、西澳警察部隊（WAPF）及美國聯邦調查局（FBI）共同合作，並於 2026 年 8 月 26 日展開。 7

案件之所以受到關注，在於攻擊者瞄準的不是單一企業，而是其他開發者依賴的軟體與套件。只要組織採用了遭污染的工具，就可能成為攻擊鏈中的下一個環節。不過，目前公開資料仍不足以證實外界流傳的每一項細節；相關指控也尚未經法院審理裁決。

誰被逮捕？

AFP 表示，警員在 Cottesloe、Hamilton Hill 及 Mandurah 的多處房產執行搜索令後，逮捕一名 21 歲、來自 Cottesloe 的男子，以及一名 23 歲、來自 Mandurah 的男子。警方扣押了電子裝置及其他資料，並送交鑑識分析。 7

公開報導將兩人指認為 Ruben Ian Thomson 與 Louis Michael Gaebler。在需要使用全名的情況下，Gaebler 不應僅被稱為「Michael Gaebler」。兩人於 8 月 27 日出庭，或原定於當日在珀斯裁判法院（Perth Magistrates Court）出庭。 37

AFP 表示，數位鑑識工作仍在進行，不排除日後再有人被逮捕或遭提出控罪。至於保釋結果，AFP 公告並未提供足夠確認資料，因此目前不應將任何保釋安排當作已確定事實。

兩人面臨哪些 14 項控罪？

兩人合計面臨 14 項罪名。依 AFP 公布的資料：

• Thomson 面臨 8 項控罪： 持有供電腦犯罪使用的資料；4 項意圖犯下嚴重罪行而未經授權修改資料；提供供電腦犯罪使用的資料；未遵守第 3LA 條命令；以及處理涉嫌犯罪所得至少 10 萬澳元。
• Gaebler 面臨 6 項控罪： 持有供電腦犯罪使用的資料；4 項意圖犯下嚴重罪行而未經授權修改資料；以及提供供電腦犯罪使用的資料。 7

AFP 所列的個別罪名法定最高刑期包括：持有或提供相關資料最高 3 年；每項未經授權修改資料罪最高 5 年；未遵守第 3LA 條命令最高 10 年；涉嫌處理犯罪所得罪最高 20 年。Gaebler 所涉及的持有、提供及修改資料罪名，也有相應的 3 年及 5 年法定最高刑期。 7

這些是個別罪名的法定最高刑期，不是兩人的預期刑期，也不代表刑期必然全部相加，更不代表兩人一定會被定罪。在法院證明有罪之前，兩人均依法推定無罪。

TeamPCP 被指控如何發動攻擊？

AFP 指稱，這個犯罪集團將惡意程式碼插入開源程式碼儲存庫中的軟體。開發者及組織隨後可能在不知情的情況下使用遭修改的工具，讓攻擊者得以進一步滲透下游系統並竊取敏感資訊。 7

警方表示，這場攻擊行動可能造成：

• 全球超過 1,000 個組織遭到波及；
• 超過 50 萬組認證資料被竊取；
• 至少 300 GB 資料遭外傳；以及
• 後續修復成本達到數億美元。 7

上述數字是調查階段的估算與指控，並非已完成核實的受害者或損失總額。獨立資安報導則將 TeamPCP 與 Trivy、Checkmarx KICS 及 LiteLLM 等專案遭入侵事件連結；另有報導提到 Mercor 及與 GitHub 相關的基礎設施可能受到影響。 36

歐盟執委會是否受到影響？

目前，TeamPCP 與歐盟執委會事件之間存在比「可能受影響」更明確的公開連結。歐盟電腦緊急應變小組（CERT-EU）表示，有高度信心判斷，歐盟執委會相關雲端環境的初始入侵途徑，是遭公開歸因於 TeamPCP 的 Trivy 供應鏈遭入侵事件；CERT-EU 也表示，有大量資料遭到外傳。 23

這項說明確立了 Trivy 受污染事件與歐盟執委會雲端事故之間的報告連結。但這本身並不能證明澳洲被告個人一定涉入該事故，也不能自動證實針對兩人的所有其他指控。

哪些說法仍未獲證實？

早期報導或網路討論中，有幾項具體說法應審慎看待：

• Thomson 使用 「Ellis」 作為化名；
• 他一直領導 TeamPCP，直到 2026 年 3 月；
• 他個人獲利約 2 萬美元；
• TeamPCP 是由一名核心人物帶領的同儕社群，而非正式層級組織；以及
• TeamPCP 創造了最初的 Shai-Hulud 蠕蟲。

資安研究確實將 TeamPCP 與一波稱為 「Mini Shai-Hulud」 的傳播活動連結起來，但這不等於已證明 TeamPCP 創造了最初的 Shai-Hulud 惡意軟體。同樣地，將該團體形容為技術能力有限、主要依靠快速改用公開漏洞與既有惡意軟體概念，屬於分析性判斷，而非 AFP 起訴公告中的既定結論。 3

部分媒體報導稱 Thomson 是 TeamPCP 的領導者或主要參與者，但目前較具權威的公開資料，尚未證實有關其身分、組織角色與財務收益的所有細節。這些問題可能要等到起訴文件、法院程序或後續調查公告發布後，才會更加明朗。

歐盟執委會事件與澳洲被告的關係，應如何理解？

現有資料支持以下較為謹慎的說法：CERT-EU 認定歐盟執委會雲端環境的初始入侵，與遭 TeamPCP 歸因的 Trivy 供應鏈事件有高度信心的關聯。 23

但「事件與 TeamPCP 有關」與「澳洲兩名被告親自參與該事件」是兩個不同層次的命題。後者仍須由調查證據與法院程序進一步確認，不能僅憑供應鏈事件的歸因就直接下定論。

接下來會發生什麼？

眼前的下一步，是對搜索期間扣押的電子裝置及其他資料進行鑑識分析。AFP 表示，相關工作仍在持續，也明確表示不排除追加逮捕或提出更多控罪。 7

目前可以確認的案件輪廓，比部分最廣泛的描述更為有限：兩名男子在澳洲與美國合作調查中，被控涉及一場大規模軟體供應鏈攻擊，合計面臨 14 項涉嫌犯罪。案件所指的影響規模相當龐大，但有關誰是核心領導者、是否使用特定化名、涉案金錢及團體確切架構等問題，仍有待進一步證據釐清。