ATF confirme l’attaque par ransomware de Qilin : un système contenant des cibles d’enquête touché

L’ATF confirme l’incident et isole le système compromis

L’Agence américaine de l’alcool, du tabac, des armes à feu et des explosifs (ATF) a confirmé avoir subi une cyberattaque, classée comme « incident majeur » selon les directives fédérales. Le gang de ransomware Qilin a ajouté mercredi le nom de l’agence à son site de fuite, sans toutefois publier d’échantillons de données volées.

Un porte-parole de l’ATF a déclaré que la violation a touché un système informatique autonome contenant des informations sur les cibles d’enquête de l’agence. Ce système n’était relié à aucun autre environnement interne, notamment les systèmes de gestion des dossiers, les laboratoires et les plateformes eForms. Dès la découverte de la compromission, les responsables ont immédiatement coupé les connexions vers l’environnement concerné et mis le système hors tension.

Mercredi soir, l’ATF a publié une déclaration publique réaffirmant que l’attaque n’a eu aucun impact sur les autres systèmes internes et n’a pas compromis la capacité de l’agence à remplir ses missions. L’événement a été désigné comme un « incident majeur » par les hauts responsables.

Qilin, l’un des gangs de ransomware les plus actifs de 2026

Qilin est considéré comme l’une des opérations de ransomware les plus actives et les plus destructrices de ces dernières années. En juillet 2026, selon les chercheurs, il s’agissait du deuxième gang le plus actif avec 127 attaques signalées. Son activité en 2025 a inclus des attaques contre l’aéroport international de Kuala Lumpur, le géant japonais des boissons Asahi, la ville texane de Sugar Land, un gouvernement de comté de Caroline du Nord et plusieurs compagnies d’électricité du Texas.

Le groupe a gagné en notoriété en 2024 après une attaque dévastatrice contre une société de santé britannique qui a provoqué de graves perturbations des services médicaux. Malgré l’attention accrue des forces de l’ordre, Qilin est rapidement revenu avec des attaques contre le gouvernement de Palau et l’une des plus grandes chaînes de journaux des États-Unis. Au début du mois, le club de rugby français Stade Français Paris a confirmé avoir été attaqué après avoir été ajouté au site de fuite de Qilin.

L’apparition de l’ATF sur le site de fuite suit le schéma typique du groupe : lister la victime sans fournir immédiatement de preuves d’exfiltration, probablement pour accroître la pression lors des négociations.

Quelles données étaient en danger et quelles pourraient être les conséquences

Le système compromis contenait des informations sur les cibles d’enquête de l’ATF. Si Qilin devait diffuser ces données, les conséquences pourraient être graves : des enquêtes en cours pourraient être compromises et des personnes impliquées dans des opérations pourraient se retrouver en danger.

Pour l’instant, Qilin n’a publié aucun échantillon de données volées. La seule action observée est l’ajout du nom de l’ATF à son site de fuite. Cela n’exclut pas que les données aient été exfiltrées avant la mise hors tension du système, mais réduit l’urgence immédiate en matière de diffusion.

L’ATF a déclaré que les systèmes de gestion des dossiers, les laboratoires et les plateformes eForms n’ont pas été touchés. L’isolement du système compromis a limité l’impact opérationnel, mais le risque réputationnel et pour les enquêtes reste élevé.

La réponse de l’ATF et l’enquête du Département de la Justice des États-Unis

Les actions immédiates de l’ATF ont inclus la coupure des connexions vers l’environnement compromis, la mise hors tension du système et le lancement d’activités de réponse à incident et d’analyse forensique. Le porte-parole a précisé qu’il s’agit d’une enquête en cours et qu’aucun détail supplémentaire ne peut être partagé pour le moment.

Le Département de la Justice des États-Unis enquête sur l’attaque. Aucune mesure d’atténuation technique spécifique supplémentaire n’a été publiée, ni d’indicateurs de compromission tels que des hashs, des adresses IP ou des échantillons de logiciels malveillants. Les organisations souhaitant vérifier une éventuelle exposition ne disposent à ce stade d’aucun élément concret sur lequel s’appuyer.

Un Département de la Justice sous le coup d’attaques répétées

L’incident à l’ATF est le dernier d’une série de cyberattaques ayant touché le Département de la Justice et ses agences. Auparavant, le U.S. Marshals Service et le FBI ont subi des épisodes de compromission. Début 2020, le DOJ lui-même avait été victime d’une violation de son système de gestion des dossiers des tribunaux fédéraux.

Cette succession met en évidence que les agences fédérales américaines restent une cible privilégiée pour les groupes de ransomware et les acteurs malveillants, même lorsque les systèmes touchés sont isolés et ne sont pas directement reliés aux infrastructures critiques.

Ce que nous ne savons pas encore

Plusieurs détails techniques restent inconnus. Le vecteur d’accès initial utilisé par Qilin pour compromettre le système autonome n’a pas été rendu public. Il n’est pas clair si les données relatives aux cibles d’enquête ont effectivement été exfiltrées avant la mise hors tension du système. Aucune information n’a été fournie sur une éventuelle demande de rançon ou sur d’éventuelles négociations.

L’absence d’échantillons publiés sur le site de fuite pourrait indiquer que Qilin ne dispose pas de données, ou qu’il attend avant d’exercer davantage de pression. Tant que l’enquête n’aura pas produit de résultats plus détaillés, le tableau reste incomplet.