Die Festnahmen im Fall „TeamPCP“ – aus der Innenperspektive

Fünf Monate nach den Angriffswellen im März forderte die Kettenreaktion weiterhin Opfer bei npm, PyPI und GitHub Actions. Am 26. August 2026 erhob die australische Bundespolizei in Zusammenarbeit mit dem FBI und der Polizei von Westaustralien Anklage gegen zwei Männer in Perth, nachdem sie Hinweise von Unternehmen zur Bewertung cyberbedrohlicher Risiken erhalten hatte. In dieser Sitzung wird der gesamte Verlauf nachgezeichnet und erläutert, wie sich dadurch die Art und Weise ändert, wie Sie Vertrauen in Ihren eigenen Pipelines modellieren.

Wichtige Themen:

• Wie die Kaskade tatsächlich ablief. Welle für Welle – von der Kompromittierung eines Dienstkontos über 76 von 77 manipulierten Versions-Tags bis hin zu bösartigen Veröffentlichungen auf PyPI – und warum die Anmeldedaten und nicht die CVE die Nutzlast darstellten.
• Warum eine unvollständige Rotation die ganze Geschichte war. Eine Sicherheitslücke vom Februar 2026 wurde zwar geschlossen, aber nicht vollständig rotiert. Genau diese eine Lücke hat den Angriff im März ermöglicht, und dies ist die häufigste Form dieses Versagens.
• Wie „noch immer aktiv“ in der Praxis aussieht. Die Kompromittierungen, die nach Abschluss des Berichtszyklus im März bekannt wurden, und warum das Patchen eines Pakets die Sicherheitslücke nicht schließt, wenn der Zugriff über gestohlene Token erfolgt.
• Eine konkrete Checkliste zur Überprüfung. Die zu überprüfenden Paketversionen, Aktions-Tags und Expositionsfenster sowie die Fälle, die unabhängig davon, ob das Tool aufgerufen wurde, als kompromittiert zu betrachten sind.
• Wie die Vertrauensgrenze neu gezogen werden sollte. Ein Sicherheitstool befindet sich innerhalb der Vertrauensgrenze jeder Pipeline, in der es ausgeführt wird. Nur sehr wenige Unternehmen gehen so vor, und diese Fallstudie zeigt, wie sich das ändern lässt.

Referenten:

Ben Kapon

Vizepräsident für Marketing

Jimmy

Senior Analyst bei KELA