Das US Bureau of Alcohol, Tobacco, Firearms and Explosives (ATF) hat bestätigt, dass ein eigenständiges System bei einem Cybersicherheitsvorfall kompromittiert wurde, kurz nachdem die Qilin-Ransomware-Operation die Bundesbehörde auf ihrer Dark-Web-Leak-Seite gelistet hatte.
Qilin fügte ATF am Mittwoch seiner Liste mutmaßlicher Opfer hinzu. Die Ransomware-Gruppe gab keine Details darüber bekannt, was sie angeblich erlangt zu haben, und gab nicht öffentlich an, ob ein Lösegeld gefordert wurde.
Am selben Tag erkannte die ATF einen Cybersicherheitsvorfall mit einem seiner Systeme an und bezeichnete den Vorfall als “schwerwiegenden Vorfall”. Laut der Behörde ist die betroffene Umgebung von ihrem primären Unternehmensnetzwerk getrennt.
ATF teilte mit, dass es keine Hinweise darauf gebe, dass sein Unternehmensnetzwerk, die eForms-Plattform oder andere Behörden betroffen waren. Nach der Entdeckung des Eindringlings trennten die Behörden die kompromittierte Umgebung und begannen mit forensischen und incident-response-arbeiten.
Das Justizministerium arbeitet mit der ATF an der Untersuchung zusammen. Die Behörde erklärte außerdem, dass der Vorfall ihre Arbeit nicht gestört habe.
Während der Zeitpunkt von Qilins Behauptung und die Offenlegung von ATF die beiden Entwicklungen miteinander verbinden, führt die Ankündigung von ATF den Einbruch nicht öffentlich Qilin zu. Die Behörde hat auch nicht offengelegt, ob Informationen aus dem kompromittierten System gestohlen wurden. Daher bleiben Qilins Verantwortung für den Vorstoß und etwaige Behauptungen bezüglich gestohlener Daten unbestätigt.
Qilin betreibt ein Ransomware-as-a-Service-Modell und ist seit 2022 aktiv, als die Operation zunächst unter dem Namen Agenda verfolgt wurde. Die Gruppe hat anschließend Angriffe auf eine Vielzahl von Organisationen beansprucht und veröffentlicht mutmaßliche Opfer über ihr Dark-Web-Leak-Portal.
Zu den zuvor gemeldeten Zielen zählen Nissan, der Automobilzulieferer Yanfeng, der Pathologiedienstleister Synnovis, der japanische Brauer Asahi, der Zeitungsverleger Lee Enterprises und Court Services Victoria in Australien.
Der ATF-Vorfall folgt auf mehrere andere Cybersicherheitsverstöße, die von US-Bundesbehörden im Jahr 2026 offengelegt wurden. Im März bestätigte das FBI, dass es einen Einbruch untersucht, der Systeme betrifft, die für Überwachung und Abhörbefehle zuständig sind.
Das Department of Homeland Security gab im Juli einen weiteren Vorfall bekannt, der das Homeland Security Information Network (HSIN) betraf. Diese Plattform erleichtert den Informationsaustausch zwischen Bundes-, Landes- und Kommunalbehörden sowie privaten Partnern.
Für die ATF-Verletzung bleiben mehrere wichtige Details unbekannt. Die Behörde hat nicht festgestellt, wie die Angreifer zunächst Zugang erhielten, wann die Kompromittierung begann, welche Informationen in der betroffenen Umgebung gespeichert wurden oder ob Dateien exfiltriert wurden.
Die ATF teilte mit, dass sie ihre Untersuchung mit dem Justizministerium fortsetzt und alle Personen mit relevanten Informationen über den Vorfall auffordert, die Behörde über die offizielle Tipp-Hotline zu kontaktieren. ATF-Erklärung zum Cybersicherheitsvorfall