TeamPCP gilt als eine der auffälligsten Erscheinungen im Bereich der Angriffe auf Entwickler-Lieferketten im vergangenen Jahr. Die Angreifer schleusten Schadcode in Software ein, die auf Open-Source-Repositorien gehostet wird. Entwickler übernahmen diesen Code anschließend ahnungslos in eigene Anwendungen — auf Systemen, die von Behörden, akademischen Einrichtungen und Unternehmen genutzt werden.
Hinter dem Namen steht nach Einschätzung der Ermittler keine feste Organisation. Vielmehr wird die Aktivität einem lose verbundenen Kollektiv von Akteuren zugeschrieben, die dieselben Hackerforen, Discord-Server und Telegram-Kanäle frequentieren.
Die Bilanz, die AFP, FBI und die Polizei von Westaustralien ziehen, ist erheblich: potenziell über tausend betroffene Organisationen weltweit, eine halbe Million gestohlener Zugangsdaten und mindestens 300 GB abgeflossene Daten. „Die mutmaßliche Kompromittierung einer kleinen Zahl vertrauenswürdiger Softwarekomponenten hatte erhebliche globale Auswirkungen“, heißt es in der Mitteilung der AFP. Die finanziellen Folgen beziffert die Behörde bislang auf global geschätzte Bereinigungskosten in Höhe von mehreren Hundert Millionen Dollar.
Die Ermittlungen begannen im April 2026, nachdem AFP und FBI zentrale Hinweise von Cybersicherheitsunternehmen erhalten hatten. Am 26. August 2026 folgten die Festnahmen in Cottesloe und Mandurah. Die Polizei wirft den beiden Männern vor, für ihre Beteiligung an TeamPCP-Operationen Zahlungen in Kryptowährung in nicht genannter Höhe erhalten zu haben.
Nach Bekanntgabe der Festnahmen veröffentlichten sowohl Flare als auch Brian Krebs eigene Recherchen. Sie beschreiben, wie Telegram-Aktivitäten, wiederverwendete Aliase und Konten sowie weitere Online-Spuren mutmaßliche TeamPCP-Mitglieder mit realen Identitäten verknüpfen ließen.
Die beiden Beschuldigten sehen sich zusammen 14 Anklagepunkten gegenüber. Sie betreffen den Besitz und die Weitergabe von Daten für Computerstraftaten sowie die Veränderung von Daten zur Ermöglichung schwerer Straftaten. Dem jüngeren der beiden wird zusätzlich vorgeworfen, mit mindestens 100.000 Dollar an Erlösen aus Straftaten gehandelt und einer Anordnung zur Herausgabe des Zugangs zu elektronischen Daten nicht Folge geleistet zu haben. Die Anklagepunkte sind jeweils mit Höchststrafen zwischen drei und 20 Jahren Haft bedroht.
Während das sichergestellte Beweismaterial ausgewertet wird, hält sich die AFP weitere Schritte offen: Zusätzliche Festnahmen oder Anklagen seien zum jetzigen Zeitpunkt nicht ausgeschlossen.