La Policía Federal australiana detuvo en Perth a dos hombres acusados de pertenecer a TeamPCP, un prolífico grupo de ciberdelincuentes responsable de una oleada de ataques a la cadena de suministro de software que comprometieron a más de mil organizaciones en todo el mundo durante los últimos nueve meses. Los detenidos, residentes en las localidades occidentales de Cottesloe y Mandurah, enfrentan 14 cargos por delitos de hacking, blanqueo de capitales y otros ciberataques, y comparecerán ante los tribunales en los próximos días.
Según el comunicado oficial de la Policía Federal de Australia, los sospechosos son acusados de hackeosgeneralizados que implicaron el compromiso y la manipulación de proyectos de código abierto muy populares. Su objetivo, explican las autoridades, era infectar un gran número de equipos para robar credenciales y datos sensibles —incluidas claves privadas de acceso a sistemas de almacenamiento en la nube— y posteriormente extorsionar a las víctimas exigiéndoles un rescate. Solo en concepto de credenciales, los hackers habrían sustraído más de medio millón, que luego utilizaban para lanzar ataques adicionales contra otras compañías.
El jefe de la división cibernética del FBI, Brett Leatherman, citado por TechCrunch, aseguró que los dos supuestos miembros de TeamPCP habrían atacado a más de un millar de organizaciones. La investigación, según fuentes oficiales, se inició en abril de 2026 tras recibir información de varias empresas de ciberseguridad. La operación fue fruto de la cooperación entre la Policía Federal australiana, el FBI estadounidense y la Policía de Australia Occidental (WAPF), que trabajaron conjuntamente para identificar y localizar a los sospechosos.
Aunque la policía no ha revelado oficialmente los nombres de los detenidos, el periodista independiente de ciberseguridad Brian Krebs publicó en exclusiva la identidad de al menos uno de ellos: Ruben Thomson, conocido en el mundo hacker bajo el alias "Ellis". Krebs explicó que mantuvo contacto con Ellis durante varios meses y que el propio hacker le confesó haber sido líder de TeamPCP hasta marzo de 2026. El periodista atribuye la identificación a una serie de errores cometidos por el sospechoso, que permitieron rastrear su verdadera identidad.
El modus operandi del grupo, según detallan ambas fuentes, se basó en ataques a la cadena de suministro de software de código abierto. Una vez que los hackers lograban comprometer una herramienta o paquete popular, introducían un malware autopropagante bautizado como "Shai-Hulud", en referencia al gusano de arena de la saga Dune. Este malware atacaba los pipelines de Integración y Entrega Continua (CI/CD) de las organizaciones, utilizados para desarrollar, actualizar y desplegar software de forma rápida. Cuando los desarrolladores descargaban los paquetes comprometidos y los ejecutaban en sus propios sistemas, el código malicioso se adhería a futuras actualizaciones, extendiendo la infección de forma viral de un paquete a otro.
Entre las víctimas más conocidas de TeamPCP figuran la empresa de reclutamiento con inteligencia artificial Mercor, que fue golpeada tras el compromiso del proyecto de código abierto LiteLLM, así como la Comisión Europea, cuya infraestructura en la nube fue blanco de una brecha masiva. También se sospecha que el grupo atacó repositorios internos de gigantes tecnológicos como GitHub y OpenAI, además de comprometer herramientas de uso masivo como el escáner de vulnerabilidades Trivy, que utilizan miles de empresas en todo el mundo. La Agencia de Ciberseguridad de Europa (ENISA) señaló previamente a bandas de hackers como las responsables de una filtración de datos de gran escala.
Durante la rueda de prensa en la que se anunció la operación, las autoridades australianas confirmaron el decomiso de una gran cantidad de datos supuestamente robados, junto con dispositivos y equipos electrónicos pertenecientes a los sospechosos. Los investigadores afirmaron que notificarán a las víctimas de los ataques en las próximas semanas para que puedan tomar medidas de protección.
Por el momento, fuentes del Departamento de Justicia estadounidense no han confirmado si se solicitará la extradición de los detenidos para juzgarlos en Estados Unidos, donde varias de las víctimas y empresas afectadas tienen su sede. La complejidad de la operación y la cooperación internacional alcanzada sugieren, no obstante, que el caso podría tener repercusiones jurídicas más allá de las fronteras australianas.
En conjunto, las dos fuentes coinciden en el alcance masivo de los ataques y en la gravedad de los cargos, aunque difieren en algunos matices: TechCrunch enfatiza el carácter extorsivo de las operaciones, mientras que Ars Technica profundiza en la mecánica técnica del gusano Shai-Hulud y en la naturaleza autopropagante de los ataques. Queda por ver si las detenciones suponen el fin efectivo de TeamPCP o si otros miembros del grupo continúan operando, dado que la investigación policial no descarta nuevas identificaciones en el marco de la operación internacional.