KELAの調査により、TeamPCP のメンバーとされる人物らが逮捕された

2026年3月と4月、偽名の背後にいる人物を特定し、インフラや被害者を特定した情報分析結果が、オーストラリア連邦警察（AFP）、西オーストラリア州警察（WAPF）、および連邦捜査局（FBI）に提供された。

2026年8月27日、イスラエル・テルアビブ。KELAのサイバーインテリジェンスセンターは本日、その 調査結果を公表した。同調査結果は、AFP、WAPF、FBIを含む法執行機関に事前に共有されていたものである。

2026年3月、KELAは主要な法執行機関および連邦機関に対し、TeamPCP の構成員とされる人物の身元を特定し、その組織基盤や被害者を明らかにした詳細な報告書を共有して説明を行った。 捜査支援と情報共有は作戦期間を通じて連携して継続され、KELAの顧客がリアルタイムでアクセスできる情報と一致していた。KELAは、逮捕された容疑者の一人であるルーベン・トムソンが、2026年4月に発行された「TeamPCP –脅威アクター Profile」レポートに記載されていた人物であることを確認している。同レポートは当時、報告書やブリーフィングを通じて法執行機関に提供されていた。

KELAの調査によると、このグループの活動は、テレグラム上のデータブローカー行為から資格情報の連鎖的な悪用に至るまで、5か月間にわたって継続していたことが明らかになった。これに対し、オーストラリア警察は、この一連の攻撃に関与したとして、2人の男を起訴した。

TeamPCPGoogleが「UNC6780」として追跡している金銭目的のグループは、当初はTelegram上の盗難データブローカーとして活動していましたが、その後、組織が自社のコードを検証するために信頼を寄せるセキュリティおよび開発者向けツールを標的にするようになりました。2026年3月19日から24日にかけて、このグループは4回の攻撃波を展開しました。その第一弾は、Aqua Security社の脆弱性スキャナー「Trivy」に関連付けられた侵害された のサービスアカウントを標的としたもので、プロジェクトのバージョンタグ全体に悪意のあるコードが強制的にプッシュされました。 2026年2月の侵害を受けて実施された資格情報のローテーションが不完全なまま放置されていたため、初期アクセスが可能となった。その後の攻撃波は、CheckmarxのKICSおよびASTのGitHub Actions、OpenVSX、LiteLLMにまで及んだ。この侵害は CVE-2026-33634として追跡されており、2026年3月26日にCISAの「既知の悪用されている脆弱性」カタログに追加されました。このグループはまた、ランサムウェア組織「Vect」と提携し、初期アクセスに必要な盗まれた資格情報を提供した一方、Vectは暗号化および恐喝のためのインフラを提供しました。

AFPの報道によると、この攻撃キャンペーンにより、世界中で1,000以上の組織が侵害された （侵害）された可能性があり、50万件以上の資格情報が盗まれ、少なくとも300ギガバイトのデータが外部へ流出するなど、世界的な復旧費用は数億ドルに上ったという。

KELAの調査では、このコードの背後に存在する犯罪エコシステムについても明らかにされている。このグループの主なプラットフォームは、2025年11月から2026年3月まで活動していたTelegramチャンネルであり、そこで管理者は盗まれたデータを仲介するとともに、TeamPCPが運営する情報漏えい情報の公開サイト「CipherForce」を宣伝していた。 同期間中、このグループは「ShellForce」という名称の姉妹チャンネルを立ち上げ、データ窃取ログ検索ボットを運用し、Torベースのインフラを構築した後、バレットプルーフ・ホスティングへ移行した。

AFPは、同局とFBIが複数のサイバー脅威評価企業から情報を得たことを受け、2026年4月に捜査を開始したと述べ、こうした業界からの報告が捜査当局にとって極めて重要であったと明らかにした。KELAは、TeamPCP に関する情報をこれらの機関に報告した企業の1つであった。この件は現在、裁判所で審理中である。

完成した脅威インテリジェンスの レポート は、KELAへのご依頼によりご提供可能です。また、同組織はさらなる調査結果を ウェビナー を通じて、さらなる調査結果を共有する予定です。

当初は以下を通じて配信されました GlobeNewswire を通じて配信されました。