米ATF、独立システムで「major incident」へサイバー攻撃、ランサムウェアグループ Qilinが犯行声明

米国のアルコール・タバコ・火器及び爆発物取締局（ATF）は2026年8月26日、独立して稼働するシステムに影響するサイバー攻撃によるインシデントが発生したと公表しました。司法省の上級当局者は、連邦政府のガイドラインに基づき本件を「major incident」に指定しています。

一方、ランサムウェアグループ「Qilin」は同日、ダークウェブ上のリークサイトにATFを掲載し、犯行を主張しました。ただし、ATFは攻撃者をQilinと認定しておらず、ランサムウェア感染や情報窃取についても公表していません。現時点では、ATFが確認したサイバーインシデントとQilinの犯行声明を分けて捉える必要があります。

ATFサイバーインシデントとQilin犯行声明のサマリー

• ATFは2026年8月26日、独立したシステムに影響するサイバーセキュリティインシデントを公表しました。
• 影響を受けたシステムはATFのエンタープライズネットワークとは分離して稼働していると説明されています。
• ATFは、エンタープライズネットワーク、ATF eForms、その他のATFシステムに本件の影響が及んだ兆候はないとしています。
• ATFはインシデントを把握後、影響を受けた環境への接続を直ちに切断し、インシデント対応とフォレンジック調査を開始しました。
• ATFは米司法省と連携して調査を進めています。
• 司法省の上級当局者は、本件を連邦政府のガイドライン上の「major incident」に指定し、必要な通知は完了したとしています。
• ATFは、同局の任務遂行能力への影響はないと説明しています。
• Qilinは2026年8月26日、リークサイトにATFを「Government」カテゴリで掲載し、犯行を主張しました。
• 確認したQilinの掲載画面では、窃取データの量や内容、データサンプルは示されていません。
• ATFはQilinへの帰属を公表しておらず、Qilinが実際に本件へ関与したかは確認されていません。
• ATFはランサムウェア感染、データ暗号化、情報窃取・漏えいの有無を公表していません。
• インシデントの発生日、侵入経路、利用された脆弱性、影響を受けた独立システムの具体的な用途も公表されていません。

ATFが独立システムのサイバーインシデントを公表

ATFは8月26日、独立して稼働するシステムに影響するサイバーセキュリティインシデントへの対応を進めていると発表しました。

ATFによると、影響を受けたシステムは同局のエンタープライズネットワークとは分離されています。現時点で、ATFのエンタープライズネットワーク、電子申請サービス「ATF eForms」、その他のATFシステムにインシデントが影響した兆候はないとしています。

ATFはインシデントを把握した後、影響を受けた環境への接続を直ちに切断しました。そのうえでインシデント対応とフォレンジック調査を開始し、米司法省と連携して調査しています。

一方、公表資料にはインシデントを最初に確認した日時や、攻撃が行われたとみられる期間は記載されていません。侵入経路、悪用された脆弱性、認証情報の侵害有無なども明らかにされていません。

司法省が「major incident」に指定、ATFの任務遂行には影響なし

ATFによると、司法省の上級当局者は本件を、適用される連邦政府のガイドラインに基づく「major incident」に指定しました。必要な通知も完了したとしています。

ただし、ATFの8月26日の発表だけでは、指定の判断材料となった具体的な被害内容は明らかになっていません。「major incident」に指定されたことをもって、機密情報の流出や広範囲なネットワーク侵害が確認されたと解釈することはできません。

ATFは、本件によって同局の任務遂行能力は影響を受けていないと説明しています。

QilinがATFをリークサイトに掲載し犯行声明

ランサムウェアグループQilinは2026年8月26日、ダークウェブ上のリークサイトに「ATF」を掲載しました。

確認した掲載画面では、ATFのロゴとともに「Government」と表示され、2026年8月26日の日付が記載されています。一方、窃取したとするデータの容量やファイル数、情報の種類などの説明は確認できません。画面上の「photos」も0件となっており、データサンプルは掲載されていません。

このため、QilinがATFを被害組織として掲載した事実と、ATF側でサイバーセキュリティインシデントが発生した事実は確認できますが、両者が同一の攻撃を指しているとATFが公式に認定したわけではありません。

Qilinによる犯行声明だけを根拠に「ATFがQilinのランサムウェア攻撃を受けた」「ATFの情報がQilinに窃取された」と断定することはできません。

ランサムウェア感染や情報流出は現時点で確認されていない

ATFの公式発表では「cybersecurity incident」と表現されており、ランサムウェアという言葉は使われていません。

データ暗号化の有無、身代金要求の有無、情報が外部へ送信されたかどうかについても公表されていません。影響を受けた独立システムがどのような情報を保持していたのかも確認できません。

したがって、現時点で確認できるのは「ATFの独立システムにサイバーインシデントが発生したこと」と「QilinがATFをリークサイトに掲載して犯行を主張したこと」です。Qilinによる侵入、ランサムウェア感染、情報窃取、情報公開はいずれもATFの公式確認事項ではありません。

今後の続報では、フォレンジック調査によって不正アクセスの有無や範囲、外部へのデータ転送、システム内の情報へのアクセス、攻撃者の特定などが明らかになるかが焦点となります。

QilinはRaaS型ランサムウェアとして活動

Qilinは、複数の攻撃者が共通のランサムウェア基盤を利用するRansomware as a Service（RaaS）型のグループとして知られています。

セキュリティ対策Labでは、Qilinの活動傾向や過去の被害事例、確認されている攻撃手法について別記事で整理しています。

関連記事：ランサムウェア グループ Qilin(キリン、キーリン)とは手口・国内被害一覧・対策【随時更新】

ただし、Qilinが過去に利用した侵入手法や脆弱性を、そのまま今回のATF事案に当てはめることはできません。ATFは今回の侵入経路や技術的要因を明らかにしていません。

情報システム・セキュリティ部門への示唆

今回の事案は、脅威アクターの犯行声明と組織側の公式発表を分けて評価する必要性を示しています。

ランサムウェアグループのリークサイトに組織名が掲載された場合でも、「掲載された」「データ窃取を主張した」「サンプルを公開した」「組織側が情報流出を確認した」はそれぞれ異なる段階です。インシデント評価や社内報告では、この違いを明確にする必要があります。

技術面では、ATFが影響環境への接続を直ちに切断し、フォレンジック調査を開始した点が参考になります。対象環境を隔離する際は、証拠となるログや端末情報を失わないよう、インシデント対応手順に沿って保全を進めることが重要です。

また、ATFは影響を受けたシステムがエンタープライズネットワークから分離されていたと説明しています。ネットワーク分離は被害拡大を抑える重要な対策ですが、分離環境そのものの監視、アクセス制御、認証管理、ログ保存が不十分であれば侵害を防げるとは限りません。

今後ATFから追加情報が公表された場合は、侵入経路、認証情報の侵害有無、外部への通信、情報へのアクセスまたは窃取、他システムへの横展開の有無を確認する必要があります。特にQilinの犯行声明については、ATFまたは司法省が攻撃者を特定するまでは未確認情報として扱うことが適切です。

出典

• ATF responds to cybersecurity incident – Bureau of Alcohol, Tobacco, Firearms and Explosives
• ランサムウェア グループ Qilin(キリン、キーリン)とは手口・国内被害一覧・対策【随時更新】 – セキュリティ対策Lab

関連記事

GitLab 重要度の高い脆弱性を修正 （CVE-2024-4835） カレルチャペック紅茶店の公式 ECサイトで不正アクセス 10万件の個人情報が漏洩し5万件のクレカ情報も漏洩 英、ルノーとダチア、サイバー攻撃で情報漏洩 FortinetのSSO 脆弱性、公開直後から悪用を確認(CVE-2025-59718,CVE-2025-59719) がんばる舎、不正アクセスの被害を公表-個人情報流出は調査中 英国が暴いたロシア深海工作部隊「GUGI」の脅威｜海底ケーブルを狙うハイブリッド戦と日本の防衛戦略 マネーフォワード、GitHubへの不正アクセスでビジネスカード 情報370件・ソースコード流出の可能性 株式会社フュートレックがランサムウェア攻撃により情報流出の可能性を発表 JR東日本子会社の元社員、遺失物管理システムを不正利用し現金詐取未遂で逮捕

投稿者：三村

セキュリティ製品を手がける上場企業にて、SOC（セキュリティオペレーションセンター）運営およびWebアプリケーション脆弱性診断の営業に8年間従事。その後、システムエンジニアへ転身し、MDMや人事系SaaSの開発に携わる。
8年の実務経験と開発者としての知見を活かし、「セキュリティ対策Lab」ではダークウェブ調査、セキュリティインシデントの分析、および高度なセキュリティ対策解説の執筆・編集を統括しています。
LinkedIn(外部サイト)