Googleがサプライチェーン攻撃集団に潜入捜査
原題: An Undercover Google Analyst Infiltrated a Notorious Supply Chain Hacking Gang
なぜ重要か
民間企業が犯罪集団に長期潜入して法執行機関と連携する手法は、サイバー脅威対応の新たな実例として業界全体に影響を与える。
Googleの脅威インテリジェンスグループは、悪名高いハッカー集団「TeamPCP」の内部にMandiantのアナリストを潜入させていたことを明らかにした。TeamPCPはオープンソースソフトウェアを悪用したサプライチェーン攻撃で1,000社以上を侵害。2026年9月、オーストラリア当局はFBIの協力のもと、主要メンバーとされるオーストラリア人2名を逮捕・起訴した。
Googleの脅威インテリジェンスグループ（GTIG）の研究者Austin Larsenは、セキュリティ研究カンファレンス「LABScon」で、ハッカー集団TeamPCPへの調査と内部潜入の詳細を発表した。
TeamPCPは2025年末頃に登場し、オープンソースの脆弱性スキャナー「Trivy」、AIツール「LiteLLM」、Webアプリセキュリティ企業Checkmarxのインフラ、Webアプリライブラリ「TanStack」、企業向けAIプラットフォーム「Mistral AI」など、複数の広く使われるオープンソースプロジェクトにマルウェアを仕込んだ。さらに開発者アカウントを乗っ取り、Dune（デューン）をテーマにした自己拡散型ワームをリリース。連鎖的なサプライチェーン攻撃を繰り返し、最終的に1,000社以上を侵害した。
Larsenによれば、MandiantのアンダーカバーアナリストはTeamPCPが注目を集め始めた当初から内部に潜入していた。「我々のペルソナは何カ月もかけてTeamPCPに招待された人物との信頼関係を構築し、グループに加えてもらった。実質的にDay Oneから、Mandiantは舞台裏で全てを監視していた」とLarsenはWIREDに語った。この潜入により、Googleは攻撃の進行をリアルタイムで把握し、侵害ターゲットへの警告や被害拡大の阻止にも貢献したという。
Googleはまた、TeamPCPと一時提携していた別の著名なサイバー犯罪集団ShinyHuntersからも情報提供を受けた。後にShinyHuntersはTeamPCPに敵対したとされる。さらにGoogle側は、逮捕されたメンバーの運用上のセキュリティミスを追跡し、身元特定につながる重要情報を法執行機関に提供した。
2026年8月末、オーストラリア連邦警察（AFP）とFBIの合同捜査により、オーストラリア人の20代前半の男性2人（Ruben Ian ThomsonとLouis Michael Gaebler）が逮捕・起訴された。AFPはプレスリリースでオーストラリアのプライバシー法により名前を伏せつつも、両者をTeamPCPの「主要参加者」と表現した。