ATF conferma l'attacco ransomware di Qilin: colpito un sistema con obiettivi investigativi

L'ATF conferma l'incidente e isola il sistema compromesso

L'Agenzia statunitense per alcol, tabacco, armi da fuoco ed esplosivi (ATF) ha confermato di aver subito un attacco informatico, classificato come "incidente maggiore" in base alle linee guida federali. La gang ransomware Qilin ha aggiunto mercoledì il nome dell'agenzia al proprio sito di leak, senza però pubblicare campioni di dati rubati.

Un portavoce dell'ATF ha dichiarato che la violazione ha coinvolto un sistema informatico autonomo contenente informazioni sugli obiettivi delle indagini dell'agenzia. Il sistema non era collegato ad altri ambienti interni, compresi i sistemi di gestione dei casi, i laboratori e le piattaforme eForms. Alla scoperta della compromissione, i funzionari hanno immediatamente interrotto le connessioni all'ambiente interessato e spento il sistema.

Mercoledì sera l'ATF ha rilasciato una dichiarazione pubblica in cui ribadisce che l'attacco non ha avuto impatto su altri sistemi interni e non ha compromesso la capacità dell'agenzia di svolgere le proprie missioni. L'evento è stato designato come "major incident" dai funzionari senior.

Qilin, una delle gang ransomware più attive del 2026

Qilin è considerata una delle operazioni ransomware più attive e distruttive degli ultimi anni. Nel luglio 2026, secondo i ricercatori, è stata la seconda gang più attiva con 127 attacchi segnalati. La sua attività nel 2025 ha incluso attacchi all'aeroporto internazionale di Kuala Lumpur, al colosso giapponese delle bevande Asahi, alla città texana di Sugar Land, a un governo di contea della Carolina del Nord e a diverse società elettriche del Texas.

Il gruppo ha guadagnato notorietà nel 2024 dopo un attacco devastante a una società sanitaria britannica che causò gravi interruzioni dei servizi medici. Nonostante la maggiore attenzione delle forze dell'ordine, Qilin è tornata rapidamente con attacchi al governo di Palau e a una delle più grandi catene di giornali degli Stati Uniti. All'inizio di questo mese, il club francese di rugby Stade Français Paris ha confermato di essere stato attaccato dopo essere stato aggiunto al sito di leak di Qilin.

La comparsa dell'ATF sul leak site segue lo schema tipico del gruppo: elencare la vittima senza fornire immediatamente prove dell'esfiltrazione, probabilmente per aumentare la pressione negoziale.

Quali dati erano a rischio e cosa potrebbe succedere

Il sistema compromesso conteneva informazioni sugli obiettivi delle indagini ATF. Se Qilin dovesse diffondere questi dati, le conseguenze potrebbero essere gravi: indagini in corso potrebbero essere compromesse e persone coinvolte in operazioni potrebbero trovarsi in pericolo.

Al momento, però, Qilin non ha pubblicato alcun campione di dati rubati. L'unica azione osservata è l'aggiunta del nome dell'ATF al proprio sito di leak. Questo non esclude che i dati siano stati esfiltrati prima dello spegnimento del sistema, ma riduce l'urgenza immediata sul fronte della diffusione.

L'ATF ha dichiarato che i sistemi di gestione dei casi, i laboratori e le piattaforme eForms non sono stati coinvolti. L'isolamento del sistema compromesso ha limitato l'impatto operativo, ma il rischio reputazionale e investigativo resta elevato.

La risposta dell'ATF e l'indagine del Dipartimento di Giustizia

Le azioni immediate dell'ATF hanno incluso la terminazione delle connessioni all'ambiente compromesso, lo spegnimento del sistema e l'avvio di attività di incident response e analisi forense. Il portavoce ha precisato che si tratta di un'indagine in corso e che al momento non possono essere condivisi ulteriori dettagli.

Il Dipartimento di Giustizia statunitense sta indagando sull'attacco. Non sono state pubblicate ulteriori mitigazioni tecniche specifiche, né indicatori di compromissione come hash, indirizzi IP o campioni di malware. Le organizzazioni che volessero verificare una possibile esposizione non hanno al momento elementi concreti su cui basarsi.

Un Dipartimento di Giustizia sotto attacco ripetuto

L'incidente all'ATF è l'ultimo di una serie di attacchi informatici che hanno colpito il Dipartimento di Giustizia e le sue agenzie. In precedenza, il U.S. Marshals Service e l'FBI hanno subito episodi di compromissione. All'inizio del 2020, lo stesso DOJ aveva subito una violazione del sistema di docketing delle corti federali.

Questa sequenza evidenzia come le agenzie federali statunitensi restino un obiettivo privilegiato per gruppi ransomware e attori malevoli, anche quando i sistemi colpiti sono isolati e non direttamente collegati alle infrastrutture critiche.

Cosa non sappiamo ancora

Diversi dettagli tecnici restano non noti. Non è stato reso pubblico il vettore di accesso iniziale utilizzato da Qilin per compromettere il sistema standalone. Non è chiaro se i dati sugli obiettivi investigativi siano stati effettivamente esfiltrati prima dello spegnimento del sistema. Non sono state fornite informazioni su una eventuale richiesta di riscatto o sulla possibile negoziazione.

L'assenza di campioni pubblicati sul leak site potrebbe indicare che Qilin non dispone di dati, oppure che sta attendendo prima di esercitare maggiore pressione. Fino a quando l'indagine non produrrà risultati più dettagliati, il quadro resta parziale.