El grupo de ransomware Qilin ha publicado datos que, según él, fueron robados de la Oficina de Alcohol, Tabaco, Armas de Fuego y Explosivos (ATF) de EE. UU., exponiendo archivos que parecen contener información relacionada con investigaciones penales federales y exámenes forenses digitales.
La publicación sigue a una amenaza anterior de Qilin, que dio a la agencia 72 horas antes de publicar el material robado. Tras expirar la cuenta atrás, la operación de ransomware publicó lo que parecen ser al menos 6,3GB de archivos internos de ATF en su sitio de filtraciones de la dark web.
La ATF ha confirmado que un sistema independiente heredado fue comprometido. El entorno afectado ha sido identificado como el sistema CALEA de la agencia, que se utiliza en relación con la vigilancia electrónica autorizada federalmente bajo la Ley de Asistencia en Comunicaciones para la Aplicación de la Ley.
La agencia reconoció que Qilin afirma haber publicado material obtenido de ese sistema, pero afirmó que no ha verificado la autenticidad, la naturaleza exacta ni el alcance completo de los archivos publicados. La ATF está trabajando con el Departamento de Justicia y otros socios federales para investigar el incidente.
La agencia confirmó previamente que el sistema comprometido contenía información sobre los objetivos de las investigaciones de la ATF. Sin embargo, los funcionarios dijeron que no había indicios de que los atacantes hubieran accedido a la red principal empresarial de la agencia, su plataforma eForms u otros sistemas de la ATF. El incidente tampoco interrumpió las operaciones de la agencia.
Un examen inicial del material publicado indica que la filtración puede contener mucho más que información administrativa rutinaria.
Los directorios dentro de los datos parecen corresponder a investigaciones individuales y operaciones de campo, incluyendo carpetas asociadas a oficinas de la ATF en Houston y Laredo. Otros directorios parecen identificar individuos, dispositivos móviles específicos y cuentas en línea relacionadas con trabajos de investigación.
Los archivos también parecen contener información extraída de smartphones y otros dispositivos. El material expuesto incluye, según se informa, referencias a iPhones, dispositivos Samsung Galaxy, tarjetas SIM, información de iCloud y extracciones forenses de Cellebrite.
Registros adicionales contienen lo que parecen ser identificadores de cuenta, direcciones IP, información de registro y números de teléfono verificados. Algunos directorios también parecen corresponder directamente a casos criminales, incluyendo registros asociados a una investigación de robo a un camión blindado.
La filtración podría revelar además información sobre partes del entorno tecnológico de la ATF, incluido el software de seguridad utilizado por la agencia.
Qilin listó por primera vez a ATF en su sitio de filtraciones el 26 de agosto, el mismo día en que la agencia confirmó que uno de sus sistemas independientes había sido vulnerado. En ese momento, el grupo de ransomware había proporcionado pocas pruebas sobre lo que había obtenido.
La publicación posterior aporta sustancialmente más material, pero el impacto total sigue bajo investigación. ATF no ha atribuido oficialmente la intrusión a Qilin, y las autoridades no han confirmado que todos los archivos publicados por el grupo de ransomware sean auténticos.
La sensibilidad del sistema afectado hace que el incidente sea especialmente grave. Las investigaciones de la ATF pueden incluir tráfico de armas de fuego, explosivos, incendios provocados, delitos violentos y otros casos federales, lo que significa que los registros de investigación expuestos podrían contener información sobre sospechosos, pruebas y personas relacionadas con investigaciones en curso o anteriores.