Australia arresta a dos presuntos miembros de TeamPCP por ataques contra cadenas de suministro

Las autoridades australianas arrestaron el 26 de agosto de 2026 a dos hombres sospechosos de formar parte de TeamPCP, un colectivo vinculado a una cadena de ataques contra la cadena de suministro de software. La Australian Federal Police (AFP), el FBI y la Western Australia Police atribuyen a la actividad del grupo un posible impacto sobre más de mil organizaciones en todo el mundo.

Los detenidos, de 21 y 23 años, fueron arrestados en las ciudades de Cottesloe y Mandurah, en el oeste de Australia. Ambos afrontan conjuntamente 14 cargos relacionados con la posesión y el suministro de datos para delitos informáticos, así como con la modificación de datos para facilitar delitos graves. El más joven también ha sido acusado de presuntamente manejar al menos 100.000 dólares australianos en beneficios delictivos y de incumplir una orden que le exigía facilitar acceso a datos electrónicos.

Los cargos contemplan penas máximas de entre tres y 20 años de prisión por cada delito. Durante la operación, los investigadores incautaron dispositivos electrónicos y otras pruebas que serán sometidas a análisis forense. La policía sostiene además que los dos sospechosos recibieron una cantidad no divulgada en criptomonedas por su presunta participación en las operaciones de TeamPCP.

TeamPCP es conocido por una serie de ataques contra proyectos de código abierto y plataformas utilizadas por desarrolladores. Los operadores inyectaban código malicioso en software alojado en repositorios abiertos, que posteriormente podía ser incorporado sin conocimiento de los desarrolladores a aplicaciones desplegadas en sistemas de organizaciones gubernamentales, académicas y privadas.

Entre los incidentes atribuidos al colectivo figuran ataques contra Trivy, LiteLLM, Telnyx, SAP y paquetes de TanStack. El grupo también habría vulnerado a la European Commission, Mistral AI, OpenAI y GitHub. Los objetivos de estas operaciones incluían el robo de credenciales, secretos de autenticación y código fuente.

Las agencias describen TeamPCP no como una estructura cohesionada, sino como un colectivo flexible de actores que frecuentan los mismos foros de hacking, servidores de Discord y canales de Telegram. Según la AFP, el FBI y la policía de Western Australia, el código malicioso distribuido en estas campañas podría haber permitido sustraer medio millón de credenciales y extraer al menos 300 GB de datos.

La investigación comenzó en abril de 2026, después de que la AFP y el FBI recibieran información relevante de empresas de ciberseguridad. La agencia australiana calcula que los costes globales de remediación derivados de estos incidentes ascienden a cientos de millones de dólares. La AFP afirmó que el compromiso de un número reducido de componentes de software considerados fiables tuvo un impacto global significativo.

Tras anunciarse los arrestos, Flare y Brian Krebs publicaron investigaciones independientes sobre la actividad en Telegram, el uso reiterado de alias, cuentas y otros rastros en línea que supuestamente permitieron relacionar a miembros de TeamPCP con identidades del mundo real. Las autoridades australianas no descartan nuevos arrestos o cargos mientras examinan las pruebas incautadas.

Fuente: BleepingComputer.