オーストラリア当局は、開発者向けサプライチェーンを標的とした一連の広範な攻撃に関与したとされるハッキンググループ「TeamPCP」のメンバーとみられる若い男2人を逮捕・起訴しました。
TeamPCPは、過去1年間にわたりオープンソースソフトウェアや開発者向けプラットフォームを標的に、認証情報や認証シークレット、ソースコードを窃取する大規模なサプライチェーン攻撃を展開してきたことで知られるハッキンググループです。
TeamPCPによるものとされる著名な攻撃では、Trivy、LiteLLM、Telnyx、SAP、TanStackの各パッケージが被害を受けたほか、同グループは欧州委員会、Mistral AI、OpenAI、そしてGitHubにも侵入していました。
攻撃者はオープンソースリポジトリでホストされているソフトウェアに悪意のあるコードを埋め込む手口を用いており、開発者たちはそれと気づかないまま、政府機関や学術機関、民間企業が利用するシステム上の自社アプリケーションに組み込んでしまっていました。
この悪意ある活動は、まとまった一つの組織によるものというより、同じハッキングフォーラムやDiscordサーバー、Telegramチャンネルに出入りする、緩やかに結びついた攻撃者集団によって実行されたとみられています。
オーストラリア連邦警察(AFP)、FBI、西オーストラリア州警察によると、TeamPCPが拡散した悪意あるコードにより、世界中で1,000を超える組織が侵害を受けた可能性があり、50万件の認証情報の窃取と、少なくとも300GBのデータの流出につながったとされています。
「一部の信頼されたソフトウェアコンポーネントが侵害されたとされる事案は、世界規模で重大な影響を及ぼしました」とAFPの発表には記されています。
「現時点で、世界的な復旧コストは数億ドル規模に達すると見積もられています」
この捜査は2026年4月、AFPとFBIがサイバーセキュリティ企業から重要な情報提供を受けたことをきっかけに始まりました。
21歳と23歳の男2人は、2026年8月26日、西オーストラリア州のコテスローとマンジュラの両都市で逮捕されました。
この法執行措置の際、捜査当局は電子機器などの証拠品も押収し、鑑識分析にかけています。
警察によると、2人はTeamPCPの活動への関与に対する報酬として、金額は明らかにされていないものの暗号資産による支払いを受け取っていたとされています。
逮捕の発表後、FlareとBrian Krebsはそれぞれ独自の調査結果を公開し、Telegram上での活動履歴や使い回されたエイリアス・アカウント、その他のオンライン上の痕跡が、TeamPCPのメンバーとされる人物と実在の身元をどのように結びつけたのかを詳しく報じました。
2人の容疑者は現在、コンピューター犯罪に関するデータの所持・提供および、重大犯罪を助長するためのデータ改ざんに関連し、合わせて14件の罪に問われています。
2人のうち若い方は、少なくとも10万ドルの犯罪収益の取り扱いに関与した疑いに加え、電子データへのアクセスを求める命令への不遵守についても罪に問われています。これらの罪状はそれぞれ、最大3年から20年の禁錮刑に相当します。
AFPは、押収した証拠品の精査を進めており、現段階でさらなる逮捕や起訴の可能性を排除していないと述べています。
