Dois supostos membros do TeamPCP foram presos na Austrália após uma investigação sobre uma série de ataques cibernéticos que colocou o grupo entre as maiores ameaças à cadeia de suprimentos de software em 2026.
Os suspeitos são acusados de participar de operações que inseriram códigos maliciosos em ferramentas amplamente utilizadas e potencialmente comprometeram mais de mil organizações ao redor do mundo.
Os dois homens, de 21 e 23 anos, foram presos na Austrália Ocidental. Embora as autoridades australianas não tenham divulgado formalmente seus nomes, a imprensa local os identificou como Ruben Ian Thomson e Louis Michael Gaebler.
Durante as buscas, dispositivos eletrônicos foram apreendidos e serão submetidos à análise forense. Os dois enfrentam juntos 14 acusações relacionadas às supostas atividades criminosas.
Prisão dos supostos membros do TeamPCP envolve FBI
A investigação reuniu a Polícia Federal Australiana, a polícia da Austrália Ocidental e o FBI. Segundo as autoridades, os suspeitos fariam parte de uma organização envolvida em invasões de sistemas, crimes de identidade e lavagem de dinheiro utilizando criptomoedas.
Thomson enfrenta oito acusações, incluindo modificação não autorizada de dados e negociação de recursos provenientes de atividades criminosas. Ele também é acusado de não cumprir uma ordem para fornecer senhas de dispositivos apreendidos. Gaebler responde a outras seis acusações relacionadas ao caso.
O FBI afirma que o código malicioso associado ao TeamPCP pode ter comprometido mais de mil organizações. As autoridades também não descartam novas prisões.
TeamPCP explorou uma fraqueza perigosa do software moderno
O TeamPCP ganhou notoriedade justamente atacando um ponto delicado da tecnologia atual: a confiança entre desenvolvedores, bibliotecas e ferramentas utilizadas automaticamente na criação de software.
No início de 2026, o grupo explorou uma configuração incorreta envolvendo o Trivy, popular scanner de vulnerabilidades de código aberto mantido pela Aqua Security. Os criminosos conseguiram roubar uma credencial de serviço e posteriormente distribuir versões maliciosas da ferramenta.
O problema ganhou proporções enormes porque ferramentas como o Trivy fazem parte de processos automatizados de desenvolvimento. Quando uma delas é comprometida, o código malicioso pode viajar junto com aquilo que empresas e desenvolvedores acreditam estar instalando de uma fonte confiável.
Em março, versões adulteradas do Trivy chegaram a milhares de pipelines automatizados. Segundo informações divulgadas durante as investigações sobre a campanha, mais de mil ambientes SaaS chegaram a lidar diretamente com os efeitos do ataque.
É o equivalente digital a descobrir que o cadeado comprado para proteger a porta veio de fábrica com uma chave entregue ao ladrão.
Ataques do TeamPCP chegaram a outras ferramentas
A ofensiva não ficou limitada ao Trivy. Pesquisadores relacionaram o TeamPCP a diferentes campanhas direcionadas ao ecossistema de desenvolvimento e à infraestrutura em nuvem.
Em maio, o malware autorreplicável conhecido como mini Shai Hulud atingiu bibliotecas e ferramentas utilizadas por desenvolvedores. O objetivo incluía roubar credenciais presentes nos ambientes comprometidos e utilizar esses acessos para ampliar o alcance da operação.
O TeamPCP percebeu algo relativamente simples, mas extremamente eficiente: comprometer diretamente uma empresa dá acesso a uma empresa. Comprometer uma ferramenta utilizada por centenas ou milhares delas pode abrir portas em escala industrial.
E essa lógica tornou os ataques à cadeia de suprimentos uma das maiores preocupações da segurança de software atual.
Uma senha vazada ajudou a chegar a um dos suspeitos
Talvez a parte mais curiosa da história esteja na maneira como pesquisadores privados chegaram até um dos supostos operadores.
Pesquisadores da empresa canadense de inteligência de ameaças Flare partiram do pseudônimo DeadCatx3, associado a atividades do TeamPCP. A investigação conectou esse nome a diferentes contas online e eventualmente ao nome Ruben Thomson.
Uma senha anteriormente exposta e associada a um endereço de email escolar permitiu avançar pelas conexões entre diferentes contas.
Os pesquisadores chegaram a perfis pessoais, uma conta no TikTok e um antigo perfil da Steam. A foto utilizada nessa conta mostrava um gato sentado diante de vários monitores.
O detalhe seria apenas mais uma relíquia curiosa da internet se a mesma imagem não tivesse aparecido associada a uma identidade do TeamPCP no Telegram.
A Flare afirmou ter chegado a uma avaliação de alta confiança ligando Thomson à operação e disse ter compartilhado suas descobertas com as autoridades.
Prisões não encerram o risco dos ataques à cadeia de suprimentos
A prisão de dois supostos integrantes representa um golpe importante contra o TeamPCP, mas não resolve o problema que permitiu ao grupo alcançar tamanha escala.
O verdadeiro alerta está na dependência crescente de componentes de código aberto, processos automatizados e credenciais com acesso a ambientes críticos.
Uma biblioteca comprometida não precisa necessariamente atacar milhares de empresas individualmente. Basta ser instalada por elas.
É por isso que ataques à cadeia de suprimentos são particularmente perigosos: eles transformam a confiança, algo essencial para o desenvolvimento moderno, em vetor de ataque.
Os suspeitos ainda terão de responder às acusações perante a Justiça australiana. Enquanto isso, para empresas e desenvolvedores, fica uma lição menos confortável: o TeamPCP pode perder integrantes, mas as falhas que tornaram suas campanhas possíveis continuam existindo.
E na segurança cibernética, quando uma estratégia funciona tão bem, dificilmente alguém deixa de tentar copiá-la.
