TeamPCPのメンバーとされる西豪州の男2人を起訴 — AFP・FBI・州警察が世界1,000組織超の侵害で共同摘発

オーストラリア連邦警察（AFP）は2026年8月27日、西オーストラリア州の男2人をサイバー犯罪シンジケートへの関与で起訴した と公表した。AFPと西豪州警察（WAPF）、米連邦捜査局（FBI）による共同捜査 の結果、オープンソースのソフトウェアに悪性コードを仕込み、世界1,000超の組織から50万件超の認証情報と300GB超のデータを窃取した とされる。FBIサイバー部門のBrett E. Leatherman assistant directorは、男らがサイバー犯罪グループ「TeamPCP」のメンバーだと指摘している。

2人を起訴 — パースで家宅捜索、14件の罪で

AFPによると、21歳のCottesloe在住の男 と 23歳のMandurah在住の男 が 2026年8月26日に逮捕 され、同日パースのCottesloe、Hamilton Hill、Mandurahの3か所でWAPFの支援を得てFBIの協力の下で家宅捜索 が行われた。電子機器などが押収され、現在法科学解析が進められている。

2人は 2026年8月27日にPerth Magistrates Court（パース治安判事裁判所）へ出廷する予定 だ。AFPが公表した起訴内容は次の通りだ。

Cottesloeの21歳の男（8件）

• コンピュータ犯罪を目的とするデータの所持（Criminal Code (Cth) 478.3(1)、最大3年）
• 重大な犯罪を目的とするデータの不正な改変 4件（477.1条および372.1条、最大5年）
• コンピュータ犯罪を目的とするデータの提供（478.4(1)、最大3年）
• 3LA命令（データへのアクセス支援命令）への不遵守（Crimes Act 1914 3LA条、最大10年）
• 10万豪ドル以上の犯罪収益の取り扱い（400.4(1)、最大20年）

Mandurahの23歳の男（6件）

• コンピュータ犯罪を目的とするデータの所持（478.3(1)、最大3年）
• 重大な犯罪を目的とするデータの不正な改変 4件（477.1条および372.1条、最大5年）
• コンピュータ犯罪を目的とするデータの提供（478.4(1)、最大3年）

2人で計14件の起訴 で、押収した大量のデータの解析が続いており、AFPはさらなる逮捕や起訴を排除しない としている。

手口 — オープンソースを悪用し1,000組織超から窃取

捜査は 2026年4月にAFPとFBIが複数のサイバー脅威評価会社から情報提供を受けたこと を端緒に並行して開始された。警察の主張によると、シンジケートはオープンソースのリポジトリで公開されているソフトウェアに悪性コードを挿入し、それを他の開発者が気付かずに利用したことで、政府や学術機関、民間企業のシステムへ悪性ソフトが配布された という。

感染したソフトウェアは、組織のシステムへ侵入し、ユーザー認証情報や認証素材などの機微なデータを窃取・収集する機能を持っていた とされる。AFPは 悪性コードが世界1,000超の組織に影響を与え、50万件超の認証情報と少なくとも300GBのデータが窃取された可能性がある と推定している。信頼されたソフトウェアの少数のコンポーネントが侵害されただけで、世界的な影響が生じ、修復コストは数億ドル規模に上る とAFPは説明している。

AFPの Graeme Marshall commander は「サイバー犯罪は国境を知らず、世界的に脅威が増している。パートナーとの連携と高度な捜査能力の共有により、AFPは世界中のサイバー犯罪者を妨害する影響力を増幅している」とコメントした。

FBIが指摘するTeamPCP — 過去のLiteLLM／Trivy事案との関連

FBIサイバー部門の Brett E. Leatherman assistant director は「男らはサイバー犯罪グループTeamPCPのメンバーとみられ、その悪性コードは世界1,000超の組織を侵害した可能性がある」と述べた。FBIは AFPおよびWAPFと協力して犯罪者にコストを課し、ソフトウェアサプライチェーン攻撃の脅威と戦う としている。

TeamPCPは、過去にも大規模なサプライチェーン攻撃への関与が指摘されているグループ だ。当サイトでは、SOCRadarが2026年8月13日に公開した行レベル分析に基づき、AIゲートウェイ「LiteLLM」と脆弱性スキャナー「Trivy」を悪用した事案でTeamPCP（Googleの脅威インテリジェンスではUNC6780として追跡）の関与 を伝えている。

• 2026年3月19日、TeamPCPは Trivyのアクション（trivy-action）のタグ77本中76本とsetup-trivyのタグ7本を悪意のあるコミットへforce-pushし、悪性のTrivy 0.69.4を公開 したとされる（GitHub Advisory GHSA-69fq-xp46-6x23／CVE-2026-33634、米CISAは3月26日にKEVへ追加）
• 2,188組織のレコードを解析した結果、95%（2,085組織）でデータ収集が悪性LiteLLMパッケージの公開（3月24日）より前に始まっており、最古の記録は悪性Trivyビルド公開の18分後（3月19日18:05 UTC） だった。AFPが今回指摘する 「1,000組織超への影響」や「信頼された少数のコンポーネントの侵害が世界的被害を生んだ」 という構図と一致する
• 窃取された認証情報はTelegramで150GB超のバンドルとして販売され、Vectランサムウェアとの連携も確認 されているとSOCRadarは報告している

過去のTeamPCPに関する詳細は、当サイトの次の記事で解説している。

関連記事: 2,500組織の“主犯”はTrivy — SOCRadarの行レベル分析、95%はLiteLLM公開前に露出

AFPは、今回の捜査でも複数の脅威評価会社からの情報提供が決定的だった と説明し、民間企業との連携がサイバー犯罪対策の重要な要素 だと強調している。WAPFの Peter Foley acting commander は「サイバー犯罪者が我々のコミュニティの中に潜んでいることを示している。州、国家、国際的な法執行機関が連携して対応する」と述べた。

AFPとFBI、WAPFの捜査は継続中だ。

---

出典: Australian Federal Police, “Two WA men charged following AFP-FBI-WAPF disruption of alleged global cybercrime syndicate” (Joint media release with FBI and WAPF), 27 August 2026. https://www.afp.gov.au/news-centre/media-release/two-wa-men-charged-following-afp-fbi-wapf-disruption-alleged-global