TeamPCPの容疑者2人を逮捕・起訴、数カ月にわたるソフトウェアサプライチェーン混乱の末に

西オーストラリア州出身の男2人が水曜日、悪名高いサイバー犯罪集団TeamPCPへの関与容疑で逮捕・起訴されました。同集団は、広く利用されているオープンソースソフトウェアに悪意あるコードを埋め込み、世界中で1,000を超える組織を侵害するキャンペーンを主導したとされています。

オーストラリア当局は両容疑者の実名を正式には公表していませんが、オーストラリアメディアの報道によると、両者はルーベン・イアン・トムソン容疑者(21)とルイス・マイケル・ゲーブラー容疑者(23)とされています。警察は関係先の家宅捜索を行い、電子機器を押収して鑑識調査を進めた上で両名を逮捕しました。

トムソン容疑者には、無許可のデータ改ざん4件、10万ドル以上の犯罪収益の取り扱い、端末パスワードの提出命令への不服従を含む計8件の容疑がかけられています。ゲーブラー容疑者にも関連する6件の容疑がかけられています。

オーストラリア連邦警察(AFP)は、西オーストラリア州警察(WAPF)および米連邦捜査局(FBI)と連携して捜査にあたっており、両容疑者は「データ侵入、なりすまし犯罪、暗号資産を用いたマネーロンダリング」に関与した組織の一員だったと主張しています。捜査当局は、今後さらに逮捕者が出る可能性も排除していないとしています。

FBIサイバー部門のブレット・レザーマン部長補佐は次のように述べています。「両容疑者は、悪意あるコードによって世界中で1,000を超える組織を侵害した可能性のあるサイバー犯罪集団TeamPCPのメンバーとされています。オーストラリア連邦警察および西オーストラリア州警察と協力し、犯罪者に代償を負わせ、拡大するソフトウェアサプライチェーン攻撃の脅威に対抗できることを誇りに思います」

数カ月に及んだ混乱

TeamPCPは2026年、最も活発に活動していたサイバー犯罪集団の一つです。2月下旬、TeamPCPはAqua Securityが提供する広く使われている脆弱性スキャナー「Trivy」の誤設定されたワークフローを悪用し、サービスアカウントのトークンを窃取しました。Aquaは認証情報を差し替えましたが、一部の対応漏れがありました。

3月19日、同集団は悪意あるTrivyのリリース版をすべての配布チャネルに一斉に配信し、数千件に及ぶ自動ビルドパイプラインにマルウェアを仕込みました。この影響を受けた被害者には、欧州委員会やGitHubも含まれていました。

今月初め、Oligo Securityは独自の調査結果をCyberScoopと共有し、同集団による攻撃が2020年にまでさかのぼることを明らかにしました。

猫の写真とGitHubアカウント

今回の逮捕と並行して、カナダの脅威インテリジェンス企業Flareの研究者らは、ルーベン・トムソン容疑者のオンライン上の足跡をたどった調査結果を公表しました。

研究者らは、GitHub上のエイリアス「DeadCatx3」を手がかりに調査を進め、「Ruben Thomson」名義のバグバウンティ用アカウントと、mini Shai-Huludの指令サーバーとして使われたドメイン「masscan[.]cloud」が記載されたプロフィールを発見しました。そこから、学校のメールアドレスに紐づくパスワードをたどり、盗まれた認証情報を集めたデータベースや、個人のGoogleアカウント、トムソン容疑者名義のTikTokアカウント、複数台のモニターの前に猫が座っている写真が掲載されたSteamのゲームページなど、一連のアカウント群にたどり着きました。この猫の画像は、TeamPCPのTelegram上のアカウントにも使われていたものでした。Flareは、トムソン容疑者が同集団を主導していたと高い確度で評価しており、この調査結果を法執行機関にも確認済みだとしています。

Aikido Securityのマルウェア調査責任者、チャーリー・エリクセン氏は今回の逮捕を「安堵できる出来事」と評価しつつも、これによってオープンソースソフトウェアに対する脅威が一気になくなるわけではないと警鐘を鳴らしています。