FBI i australijska policja oskarżają dwóch mężczyzn w sprawie TeamPCP

Australijskie władze oskarżyły dwóch mężczyzn z Zachodniej Australii 26 sierpnia w wyniku wspólnego śledztwa dotyczącego rzekomego syndykatu cyberprzestępczego TeamPCP.

• Australijska policja oskarżyła dwóch mężczyzn z Zachodniej Australii o czternaście przestępstw w związku z dochodzeniem w sprawie cyberprzestępczości TeamPCP.
• Władze szacują, że złośliwe oprogramowanie mogło narazić na niebezpieczeństwo ponad 1 000 organizacji i ujawnić ponad 500 000 danych uwierzytelniających.
• Śledczy twierdzą, że syndykat ukradł co najmniej 300 gigabajtów danych od klientów oprogramowania.
• Prokuratorzy w USA osobno oskarżyli Thomsona o federalne przestępstwa komputerowe, za które grozi maksymalnie pięć lat więzienia.
• Policja poinformowała, że płatności w kryptowalutach pozostają w toku dochodzenia i nie ujawniono wartości zajętych aktywów ani całkowitej kwoty prania pieniędzy.

Australijska Policja Federalna postawiła łącznie 14 zarzutów 21-letniemu Rubenowi Ianowi Thomsonowi i 23-letniemu Louisowi Michaelowi Gaeblerowi. Obaj stawili się przed Sądem Magistrackim w Perth 27 sierpnia, według ABC.

Operacja obejmowała AFP, FBI oraz Policję Zachodniej Australii. Władze wykonały nakazy przeszukania w nieruchomościach w Cottesloe, Hamilton Hill i Mandurah.

Policja twierdzi, że grupa naraziła na niebezpieczeństwo ponad 1 000 organizacji, uzyskała ponad 500 000 danych uwierzytelniających i usunęła co najmniej 300 gigabajtów danych. Oskarżeni nie zostali skazani, a zarzuty pozostają jedynie oskarżeniami.

TeamPCP rzekomo celował w zaufane komponenty oprogramowania

Wspólne śledztwo rozpoczęło się w kwietniu, po tym jak kilka firm zajmujących się cyberbezpieczeństwem dostarczyło informacje o złośliwym oprogramowaniu dystrybuowanym przez repozytorium open-source, jak podała AFP w swoim oficjalnym komunikacie.

Śledczy twierdzą, że TeamPCP wprowadził złośliwy kod do legalnych komponentów oprogramowania używanych przez innych deweloperów. Po włączeniu do systemów downstream, zmodyfikowany kod rzekomo umożliwił grupie nieautoryzowany dostęp do organizacji w rządzie, akademii i sektorze prywatnym.

Ataki na łańcuch dostaw oprogramowania mogą rozprzestrzeniać się poza organizację, która hostuje oryginalny skompromitowany kod. Zaufany komponent może być wykorzystywany przez setki deweloperów, co pozwala na dotarcie jednej modyfikacji do wielu niezwiązanych systemów.

Australijskie władze oszacowały, że organizacje reagujące ponoszą koszty naprawy wynoszące setki milionów dolarów. Ta kwota odzwierciedla oficjalne oszacowanie, a nie potwierdzoną stratę finansową poniesioną przez zidentyfikowane ofiary.

AFP poinformowała, że zainfekowane oprogramowanie umożliwiło rzekomą kradzież danych uwierzytelniających, materiałów uwierzytelniających i innych wrażliwych informacji. Jednak władze nie opublikowały pełnej listy dotkniętych organizacji ani pakietów oprogramowania.

Płatności w kryptowalutach pozostają w toku dochodzenia

Policja twierdzi, że dwaj mężczyźni byli głównymi uczestnikami operacji i otrzymywali kryptowalutę za swoje role. Władze powiedziały, że wartość tych płatności pozostaje w toku dochodzenia.

Oficjalny komunikat nie ujawniał, jakie kryptowaluty były zaangażowane. Nie ujawniono również adresów portfeli, hashów transakcji, mixerów, giełd ani potwierdzonej całkowitej kwoty prania pieniędzy.

Doniesienia sugerujące, że śledczy zajęli duże salda kryptowalut lub drogie nieruchomości, wykraczają poza szczegóły zawarte w ogłoszeniu AFP. Władze powiedziały, że zajęto urządzenia elektroniczne i inne przedmioty, ale nie przypisano im wartości aktywów cyfrowych.

Thomson stoi przed jednym australijskim zarzutem dotyczących obrotu pieniędzmi lub mieniem wartym co najmniej 100 000 dolarów australijskich, które władze twierdzą, że reprezentowało dochody z przestępstw. Przestępstwo to grozi maksymalnym wyrokiem 20 lat więzienia. Ten próg opisuje zarzut i nie ustala ostatecznej kwoty zaangażowanej.

Transakcje blockchainowe mogą wspierać śledczych, gdy fundusze przechodzą przez identyfikowalne usługi lub wchodzą w interakcje z regulowanymi giełdami. Jak wcześniej informowano, australijskie władze skonfiskowały prawie 25 Bitcoinów i inne aktywa związane z kradzieżą z giełdy w 2013 roku.

Akt oskarżenia w USA tworzy osobną sprawę federalną

Departament Sprawiedliwości USA oddzielnie ujawnił akt oskarżenia federalnego przeciwko Thomsonowi. Prokuratorzy oskarżyli go o spisek w celu naruszenia Ustawy o oszustwach komputerowych i nadużyciach oraz uzyskanie informacji z chronionego komputera.

Amerykańskie oskarżenie dotyczy rzekomych ataków TeamPCP wiosną 2026 roku. Prokuratorzy twierdzą, że złośliwy kod skanował systemy downstream, wydobywał wrażliwe informacje i utrzymywał stały dostęp.

Departament Sprawiedliwości twierdzi również, że TeamPCP używał skradzionych informacji do składania żądań okupu lub wymuszeń. Członkowie rzekomo oferowali, że nie opublikują danych ofiar w zamian za zapłatę. Te zarzuty nie zostały udowodnione w sądzie.

Każde przestępstwo w USA wiąże się z maksymalnym wyrokiem pięciu lat więzienia oraz grzywną do 250 000 dolarów lub dwukrotnością rzekomego zysku brutto lub straty ofiary. Każdy wyrok zostanie ustalony przez sędziego federalnego po skazaniu.

Ogłoszenie w USA wymienia Thomsona, ale nie ogłasza odpowiadającego amerykańskiego aktu oskarżenia przeciwko Gaeblerowi. Thomson pozostawał w areszcie w Australii, gdy prokuratorzy ujawnili sprawę.

Amerykańskie agencje wcześniej celowały w infrastrukturę rzekomo używaną do konwersji dochodów z cyberprzestępczości. W związku z tym FBI zajęło dziewięć giełd kryptowalutowych oskarżonych o pranie pieniędzy z okupu i oszustw inwestycyjnych.

Badania kryminalistyczne mogą przynieść dodatkowe zarzuty

AFP poinformowała, że śledczy badają dużą ilość skonfiskowanych danych i urządzeń elektronicznych. Ta praca może pomóc władzom zidentyfikować dodatkowych uczestników, ofiary i transfery finansowe.

Policja nie wyklucza dalszych aresztowań ani zarzutów. Nie ogłosili również, czy Stany Zjednoczone będą ubiegać się o ekstradycję Thomsona, czy poczekają na postępy postępowania australijskiego.

Następna faza śledztwa będzie obejmować kryminalistykę cyfrową oraz badanie zapisów płatności kryptowalutowych. Prokuratorzy muszą osobno udowodnić tożsamość każdego oskarżonego, jego rolę, zamiar i związek z rzekomą działalnością.

Potencjalne ofiary powinny sprawdzić zależności oprogramowania, zmienić ujawnione dane uwierzytelniające i zbadać logi uwierzytelniania. Australijskie organizacje mogą zgłaszać incydenty przez Report Cyber, podczas gdy osoby obawiające się kradzieży tożsamości mogą skontaktować się z IDCARE.