Violation d'un système de surveillance de l'ATF qualifiée d'incident majeur (revendication Qilin)

Le 26 août 2026, le groupe de rançongiciel Qilin a inscrit le Bureau of Alcohol, Tobacco, Firearms and Explosives (ATF) américain sur son site de fuite de données. Dans les jours qui ont suivi, l'agence a confirmé un incident de cybersécurité touchant un système informatique isolé contenant des informations sur les cibles de ses enquêtes, et indiqué que de hauts responsables du ministère de la Justice avaient qualifié l'événement d'« incident majeur » au sens des règles fédérales.

L'ATF a précisé que la machine concernée avait été isolée dès la découverte de l'intrusion et qu'elle fonctionnait séparément du réseau de l'agence. Selon l'ATF, elle n'était reliée ni aux systèmes de gestion des dossiers, ni aux systèmes de laboratoire, ni aux formulaires électroniques eForms, et l'incident n'a pas affecté sa capacité à remplir ses missions. La machine compromise a ensuite été identifiée comme un ancien système dédié à la CALEA (Communications Assistance for Law Enforcement Act), qui sert aux interceptions électroniques autorisées par la justice.

La fuite

L'ATF n'a ni confirmé l'implication de Qilin ni précisé si un rançongiciel avait été déployé. Le 31 août, à l'expiration d'un compte à rebours de 72 heures, Qilin a publié environ 6,3 Go de documents qu'il attribue à l'ATF, dont des répertoires liés à des enquêtes, des extractions de téléphones mobiles et des éléments de criminalistique numérique rattachés à des bureaux régionaux. Les liens de téléchargement ont ensuite été retirés du site de fuite, mais les données avaient déjà été exposées.

Pourquoi c'est important

Qilin, opération d'extorsion russophone active depuis 2022, figure parmi les groupes de rançongiciel les plus prolifiques et a frappé à plusieurs reprises des organismes publics. La compromission d'un système fédéral des forces de l'ordre lié aux interceptions légales est particulièrement sensible : même un ancien serveur « isolé » peut contenir des informations sur des suspects et des enquêtes en cours. L'incident montre que les systèmes anciens et isolés, restés hors du périmètre de sécurité principal, peuvent devenir le maillon faible d'un réseau par ailleurs segmenté.