Austrália obvinila dvoch mužov v prípade útokov TeamPCP na softvérový dodávateľský reťazec

Obvinenia TeamPCP vzniesli austrálske a americké úrady v prípade údajnej kampane proti softvérovému dodávateľskému reťazcu. Australian Federal Police (AFP) a Western Australia Police Force obvinili v Západnej Austrálii dvoch mužov vo veku 21 a 23 rokov zo spoločných 14 trestných činov. Americké ministerstvo spravodlivosti zároveň 27. augusta zverejnilo federálnu obžalobu 21-ročného Rubena Iana Thomsona.

Thomson čelí v USA obvineniu zo sprisahania a neoprávneného získavania informácií z chránených počítačov v spojitosti s kampaňou označovanou ako TeamPCP. Podľa amerických úradov bol zadržaný v Austrálii. Z dostupných oznámení však nevyplýva, či Spojené štáty požiadajú o jeho vydanie.

Čo úrady pripisujú skupine TeamPCP

AFP uviedla, že vyšetrovanie sa týka údajného vkladania škodlivého kódu do open-source softvéru. Takto kompromitované závislosti mohli následne distribuovať škodlivý kód k ďalším používateľom daných nástrojov.

Vyšetrovatelia ďalej opisujú údajný zber prihlasovacích údajov a dát, ako aj prijímanie platieb v kryptomenách. Podľa odhadu AFP mohol škodlivý kód zasiahnuť viac než 1 000 organizácií, viesť ku krádeži viac než 500 000 prístupových údajov a k exfiltrácii najmenej 300 GB dát.

Tieto čísla sú odhadom vyšetrovateľov, nie nezávisle auditovaným konečným počtom. Rovnako obvinenia zatiaľ nepreukazujú vinu ani konkrétnu úlohu jednotlivých obvinených pri všetkých tvrdených prienikoch.

Prečo sú útoky na open-source závislosti dôležité

Prípad sa týka dodávateľského reťazca softvéru, teda situácie, keď sa útok nesústredí iba na jednu cieľovú organizáciu, ale na nástroj alebo knižnicu používanú ďalšími vývojármi a firmami. Kompromitácia dôveryhodnej vývojárskej závislosti môže zasiahnuť väčší počet následných používateľov.

Zadržania preto samy osebe neodstraňujú riziko spojené so skôr odcudzenými povereniami alebo dátami. AFP opisuje údajnú reálnu distribúciu škodlivého kódu, nie iba teoretický útok. Z dostupných podkladov zároveň nevyplýva jednotná nová záplata použiteľná pre všetky možné dotknuté prostredia.

Organizácie, ktoré používali dotknuté nástroje, majú podľa dostupných informácií preverovať svoje závislosti, rotovať potenciálne vystavené tajomstvá a poverenia a kontrolovať neobvyklé prístupy. Konkrétne kompromitované balíky, systémy a postup nápravy však musia vychádzať z ich vlastného prostredia a z ďalších oznámení dodávateľov alebo vyšetrovateľov.

Nejasnosti okolo zasiahnutých organizácií a ďalšie kroky

V sekundárnych správach sa v súvislosti s incidentmi v dodávateľskom reťazci objavili názvy OpenAI a Mercor. AFP ani americká obžaloba ich však vo svojich zverejnených oznámeniach nemenovali. Nie je preto úradne potvrdené, že tieto organizácie boli priamo kompromitované.

Vyšetrovanie v Austrálii pokračuje. Orgány analyzujú zaistené dáta a zariadenia forenznými postupmi a nevylúčili ďalšie obvinenia alebo zadržania. Sledovať bude možné najmä konanie pred Perth Magistrates Court, prípadné rozhodnutie USA o žiadosti o Thomsonovo vydanie a budúce technické oznámenia, ktoré môžu presnejšie identifikovať zasiahnuté softvérové balíky a systémy.

Thomson je v americkom konaní považovaný za nevinného, kým jeho vina nebude dokázaná. Rovnako sa obvinenia voči obom mužom budú musieť preveriť v súdnom konaní.

Overené a aktualizované: 28. 08. 2026 09:28