ATF investiga incidente de ciberseguridad en un sistema

La ATF confirmó que investiga un incidente de ciberseguridad que afectó a un sistema independiente, separado de su red empresarial. La agencia dijo que no hay indicios de impacto en su red corporativa, en eForms ni en otros sistemas, y que ya cortó las conexiones con el entorno afectado mientras avanza con la respuesta a incidentes y el análisis forense.

¿Qué dijo la ATF sobre el alcance del incidente?

La ATF sostuvo que el evento quedó contenido en un sistema aislado y que, hasta ahora, no encontró señales de afectación en su red empresarial ni en eForms. También informó que no ve indicios de impacto en otros sistemas de la agencia.

El organismo agregó que ya separó el entorno comprometido del resto de su infraestructura. Según su comunicación, las tareas abiertas incluyen respuesta a incidentes y análisis forense.

¿Qué implica la clasificación de "major incident"?

La designación de "major incident" activa una notificación formal a legisladores en el Congreso, según reportó TechCrunch. La ATF también señaló que ya completó las notificaciones requeridas por esa clasificación.

Nextgov indicó que, pese a esa etiqueta, la agencia dijo que el incidente no interrumpió sus operaciones ni afectó su capacidad para cumplir sus misiones de cumplimiento de la ley y regulatorias. La propia ATF no detalló qué factores llevaron al Departamento de Justicia a clasificar el evento de esa manera.

¿Qué se sabe de Qilin y de la atribución?

TechCrunch reportó que vio un reclamo de responsabilidad del grupo de ransomware Qilin en su sitio de filtraciones, aunque no encontró evidencia pública del hackeo. Nextgov añadió que la ATF no confirmó públicamente si se utilizó ransomware ni atribuyó formalmente el caso a Qilin.

La agencia tampoco dijo si hubo robo de datos. Según Nextgov, no identificó públicamente qué sistema fue afectado ni cuándo se descubrió el incidente, y todavía no reveló si los intrusos accedieron o sustrajeron información.

Qilin es descrito por Nextgov como un grupo de ransomware-as-a-service que suele robar datos y amenazar con publicarlos para presionar a las víctimas. En este caso, la ATF no confirmó ese modus operandi ni que la intrusión haya implicado exfiltración.

¿Qué se sabe del sistema afectado?

Nextgov contextualizó que eForms permite a la industria de armas de fuego y al público presentar solicitudes relacionadas con armas reguladas por la National Firearms Act, como silenciadores, rifles de cañón corto y ametralladoras. La ATF, sin embargo, aseguró que ese sistema no fue impactado.

Un reporte sindicado de KATU/7News, con base en The Hill y Cybernews, señaló que Qilin listó a la ATF junto con otras cinco víctimas del sector manufactura e industrial en su sitio en la dark web. Aun así, la agencia no reconoció públicamente a Qilin como responsable.

El mismo reporte agregó que el anuncio de la investigación coincidió con otra operación del Departamento de Justicia en la que se incautaron las plataformas de hacking QScan y QTRouter, ligadas a un grupo estatal chino, en un contexto de presión simultánea sobre varios actores de amenazas.

Tactical Shit, citando declaraciones de voceros y fuentes internas, sostuvo que el sistema aislado comprometido contenía información sobre objetivos de investigaciones de la ATF, pero no registros NFA ni el stack de licencias usado por eForms.