西オーストラリア州出身の男2人が、オープンソースソフトウェアに悪質なコードを仕込み、それを利用して世界中の組織に侵入したとされるサイバー犯罪集団「TeamPCP」の一員だった疑いで起訴されました。
オーストラリア連邦警察(AFP)は、FBIおよび西オーストラリア州警察(WAPF)と連携し、8月26日にコテスロー在住の21歳の男とマンデュラ在住の23歳の男を逮捕しました。
コテスロー在住の21歳の男は、コンピューター犯罪に使用するためのデータの所持・提供、データの無断改変、第3LA条命令違反、10万ドル以上の犯罪収益の取り扱いなど、合計8件の容疑で起訴されました。これらの容疑に対する最高刑は懲役3年から20年です。
マンデュラ在住の23歳の男は、コンピューター犯罪に使用するためのデータの所持・提供やデータの無断改変など、コンピューター関連の6件の容疑で起訴されました。これらの容疑に対する最高刑は懲役5年です。
FBIサイバー部門のアシスタントディレクターを務めるBrett E. Leatherman氏は、「この2人は、悪質なコードによって世界中で1,000を超える組織を侵害した可能性があるサイバー犯罪集団TeamPCPのメンバーとされています」と述べています。
AFPによると、この捜査は2026年4月、複数のサイバー脅威評価企業が、オープンソースリポジトリでホストされているソフトウェアに悪質なコードが挿入されていることを発見したのをきっかけに始まりました。そのコードを自分たちのプロジェクトに取り込んだ開発者たちは、意図せず政府機関、学術機関、民間企業にまたがるシステムへとコードを拡散させてしまいました。
いったんこれらのシステムに侵入すると、このコードによって同集団はログイン認証情報や認証トークンを含む機密データを収集できるようになっていました。AFPの推計では、この攻撃キャンペーンは世界中で1,000を超える組織に被害を及ぼし、50万件以上の認証情報が窃取され、少なくとも300ギガバイトのデータが盗み出されたとみられています。世界的な復旧コストは数億ドル規模に上ると推定されています。
AFPのグレアム・マーシャル司令官は「サイバー犯罪シンジケートはますます組織化が進んでおり、プロの企業のように活動していることが多い」と指摘しています。
捜査当局によると、押収された大量のデータは現在も分析が続いており、さらなる逮捕者が出る可能性も排除していないとのことです。
TeamPCPは、GitHub、Telnyx、LiteLLM、AquaのTrivy、CheckmarxのKICS、TanStack、MistralAI、さらにはRed Hatに対するサプライチェーン攻撃の背後にいたとされており、自己拡散型ワーム「Mini Shai-Hulud」を使って認証情報を窃取し、さらに多くのパッケージへの感染を広げていました。
TeamPCPは、2025年9月に自己複製型ワーム「Shai-Hulud」を使い、180を超えるnpmパッケージを侵害したとされたことで注目を集めました。このワームは認証情報を盗み出し、それを利用して新たなパッケージへ自動的に拡散する仕組みを持っていました。また、窃取した秘密情報を公開GitHubリポジトリに流出させ、被害者の非公開リポジトリを公開状態に変更していました。
Aikidoの研究者チャーリー・エリクセン氏は次のように記しています。「TeamPCPが2025年夏に見られた当初のS1ngularityおよびShai-Hulud攻撃の背後にいたことを示す証拠は、まったく存在しません。しかし、彼らはこのワームを複製し、その結果、TeamPCPがShai-Hulud攻撃の背後にいると頻繁に報じられるようになりました。はっきりさせておきたいのですが、これらは別個の攻撃です。当初の攻撃の背後に誰がいたのかは今も分かっておらず、永遠に分からないままかもしれません」
エリクセン氏はTeamPCPについて、国家の支援を受けた集団でも、組織化されたサイバー犯罪集団でも、純粋にイデオロギーに基づく集団でもなく、分類が難しい存在だったと説明しています。
エリクセン氏はさらに、「彼らも特別高度な技術を持っていたわけではありません。彼らを危険な存在にしていたのは、公開されているエクスプロイトや手法、研究成果、マルウェアのアイデアを取り込み、迅速に実行に移す能力でした」と付け加えています。
翻訳元: https://www.helpnetsecurity.com/2026/08/27/alleged-teampcp-hackers-arrested-australia/
