KELAの調査により、TeamPCPのメンバーとされる容疑者が逮捕された

2026年3月と4月、偽名の背後にいる人物を特定し、インフラや被害者を特定した情報分析結果が、オーストラリア連邦警察（AFP）、西オーストラリア州警察（WAPF）、および連邦捜査局（FBI）に提供された。

2026年8月27日、イスラエル・テルアビブ。KELAのサイバーインテリジェンスセンターは本日、その 調査結果を公表した。同調査結果は、AFP、WAPF、FBIを含む法執行機関に事前に共有されていたものである。

2026年3月、KELAは主要な法執行機関および連邦機関に対し、TeamPCPのメンバーとされる人物の身元を特定し、そのインフラや被害者を明らかにした詳細な報告書を共有して説明を行った。 捜査支援と情報共有は作戦期間を通じて連携して継続され、KELAの顧客がリアルタイムでアクセスできる情報と一致していた。KELAは、逮捕された容疑者の一人であるルーベン・トムソンが、2026年4月に作成された「TeamPCP – 脅威アクタープロファイル」報告書に名指しされており、当時、報告書やブリーフィングを通じて法執行機関に提供されていたことを確認している。

KELAの調査によると、このグループの活動は、テレグラム上のデータブローカー行為から認証情報の連鎖的な悪用に至るまで、5か月間にわたって継続していたことが明らかになった。これに対し、オーストラリア警察は、この一連の攻撃に関与したとして、2人の男を起訴した。

GoogleがUNC6780として追跡している金銭目的のグループ「TeamPCP」は、当初Telegram上の盗難データブローカーとして活動していましたが、その後、組織が自社のコードをチェックするために信頼を寄せるセキュリティおよび開発者向けツールを標的とするようになりました。2026年3月19日から24日にかけて、同グループは4波にわたる攻撃を展開しました。その第一波では、Aqua Security社の脆弱性スキャナー「Trivy」に関連付けられたサービスアカウントが侵害され、プロジェクトのバージョンタグ全体に悪意のあるコードが強制的にプッシュされました。 2026年2月の侵害を受けて実施された認証情報のローテーションが不完全なまま放置されていたため、初期アクセスが可能となった。その後の攻撃波では、CheckmarxのKICSおよびASTのGitHub Actions、OpenVSX、LiteLLMが標的となった。この侵害は CVE-2026-33634として追跡されており、2026年3月26日にCISAの「既知の悪用済み脆弱性」カタログに追加されました。また、このグループはランサムウェア組織「Vect」と提携し、初期アクセスに必要な盗まれた認証情報を提供した一方で、Vectは暗号化および恐喝のためのインフラを提供しました。

AFPの報道によると、この攻撃キャンペーンにより、世界中で1,000以上の組織が侵害された可能性があり、50万件以上の認証情報が盗まれ、少なくとも300ギガバイトのデータが外部へ流出させられたほか、世界全体での復旧費用は数億ドルに上るとされる。

KELAの調査では、このコードの背後に存在する犯罪エコシステムについても明らかにされている。このグループの主なプラットフォームは、2025年11月から2026年3月まで活動していたTelegramチャンネルであり、そこで管理者は盗まれたデータを仲介するとともに、TeamPCPが運営する情報漏洩情報の公開サイト「CipherForce」を宣伝していた。 同期間中、このグループは「ShellForce」という名称の姉妹チャンネルを立ち上げ、データ窃取ログ検索ボットを運用し、Torベースのインフラを構築した後、バレットプルーフ・ホスティングへ移行した。

AFPは、同局とFBIが複数のサイバー脅威評価企業から情報を得たことを受け、2026年4月に捜査を開始したと述べ、こうした業界からの報告が捜査当局にとって極めて重要であったと明らかにした。KELAは、これらの機関にTeamPCPに関する情報を提供した企業の1つであった。現在、この件は裁判所に係属中である。

完成した脅威インテリジェンスの レポート は、KELAへのご依頼によりご提供可能です。また、同組織はさらなる調査結果を ウェビナー を通じて、さらなる調査結果を共有する予定です。

当初は以下を通じて配信されました GlobeNewswire を通じて配信されました。