La Oficina de Alcohol, Tabaco, Armas de Fuego y Explosivos (ATF) investiga un incidente de ciberseguridad que fue clasificado como “grave” por funcionarios del Departamento de Justicia (DOJ), esto, luego de que el grupo de ransomware de origen ruso Qilin (también conocido como Agenda) se adjudicara el ciberataque contra la Oficina, la cual, reconoció que uno de sus sistemas fue vulnerado, aunque hasta ahora no ha confirmado que Qilin, en verdad sea el responsable del ataque ni ha revelado si los piratas informáticos lograron robar información.
La agencia aseguró que el sistema afectado funcionaba de manera independiente de su red informática principal. Tampoco encontró indicios de que la intrusión se hubiera extendido a su red empresarial, a la plataforma eForms o a otros sistemas utilizados por la ATF. “Tras descubrirse el incidente, la ATF cortó de inmediato toda comunicación con la zona afectada e inició las labores de respuesta y las investigaciones forenses”, indicó la agencia. “La ATF está colaborando estrechamente con el Departamento de Justicia en la investigación”.
La agencia desconectó el sistema afectado
La ATF no ha identificado públicamente cuál de sus sistemas fue comprometido, cuándo descubrió la intrusión ni qué información, en caso de existir, pudo quedar expuesta. La plataforma eForms es utilizada por miembros de la industria de armas de fuego y por el público para presentar electrónicamente solicitudes relacionadas con armas reguladas por la Ley Nacional de Armas de Fuego, entre ellas silenciadores, rifles de cañón corto y ametralladoras.
La agencia sostuvo que el incidente no ha interrumpido sus operaciones ni su capacidad para cumplir sus funciones de investigación, aplicación de la ley y regulación.
La designación de “incidente grave” corresponde probablemente a una clasificación contemplada dentro de las normas federales de seguridad informática. Este tipo de incidente puede activar obligaciones de notificación al Congreso cuando existe la posibilidad de daños importantes para las operaciones gubernamentales, la seguridad pública, las libertades civiles o la seguridad nacional. La ATF confirmó que se realizaron las notificaciones correspondientes, aunque no explicó qué elementos llevaron al DOJ a utilizar esa clasificación.
Qilin aparece en su sitio de filtraciones
La alerta aumentó después de que Qilin incluyera a la ATF entre las víctimas que aparecen en su sitio de filtraciones en la dark web. El grupo, considerado una de las operaciones de ransomware más activas, afirmó haber obtenido acceso a sistemas de la agencia.
Sin embargo, las autoridades estadounidenses no han confirmado que las afirmaciones sean auténticas.
Qilin opera bajo un modelo conocido como ransomware-as-a-service, mediante el cual sus desarrolladores proporcionan herramientas e infraestructura a afiliados que realizan ataques contra organizaciones. Estos grupos suelen sustraer información y posteriormente amenazar con publicarla si la víctima no paga un rescate.
Un eventual robo de datos de la ATF sería especialmente delicado debido a que la agencia maneja información relacionada con investigaciones criminales, tráfico de armas, explosivos, organizaciones violentas y empresas reguladas.
Otros sistemas federales también han sido atacados
El incidente se suma a otras vulnerabilidades que han afectado durante este año a sistemas federales considerados sensibles. Entre ellas se encuentra una plataforma del Departamento de Seguridad Nacional utilizada para compartir información confidencial con autoridades y socios de distintos niveles de gobierno. También se informó de una intrusión en un sistema del FBI relacionado con información sobre operaciones de vigilancia autorizadas judicialmente.
Mientras continúa la investigación, la ATF deberá determinar cómo ocurrió la intrusión, qué sistemas fueron afectados y si hubo extracción de información. Por ahora, la agencia no ha confirmado el alcance del ataque atribuido a Qilin, por lo que las declaraciones del grupo de ransomware deben considerarse afirmaciones pendientes de verificación independiente.
Sigue leyendo: