Il Dipartimento di Giustizia ha riscritto il proprio annuncio di hacking due giorni dopo.

      Il Dipartimento di Giustizia degli Stati Uniti ha silenziosamente riscritto un comunicato stampa che affermava che hacker cinesi avevano colpito vittime tra il Senato, la Federal Reserve, la NASA e una mezza dozzina di altri enti federali. La versione rivista afferma che quelle organizzazioni erano obiettivi e che solo alcune erano effettivamente compromesse, come riportato da Reuters.

      Il testo originale è stato diffuso il 26 agosto insieme a un insieme di sequestri di domini. Elencava il Senato, la Federal Reserve, la NASA, il Dipartimento dell'Energia, lo stesso Dipartimento di Giustizia, Salute e Servizi Umani, gli Istituti Nazionali della Salute, appaltatori della difesa, istituzioni finanziarie e università come tra le vittime degli hacker.

      Due giorni dopo quella parola era scomparsa. Le agenzie sono diventate "tra gli obiettivi" di QTFY, il gruppo sponsorizzato dallo stato cinese nominato nel caso, e il dipartimento ha aggiunto una riga per spiegarsi.

      "Modifiche sono state apportate per garantire che questo comunicato stampa rifletta accuratamente le accuse del governo nell'affidavit a sostegno dei sequestri di domini," affermava il comunicato modificato. In altre parole, l'affidavit non aveva mai affermato ciò che il comunicato stampa sosteneva.

      Essere nel mirino di un gruppo sponsorizzato dallo stato è quasi routine per un'agenzia federale, mentre essere compromessi è un evento discreto con conseguenze per le persone i cui dati si trovavano dietro la porta.

      Correzioni di questo tipo sono rare negli annunci federali sulla cybersicurezza, che sono solitamente redatti in modo conservativo proprio perché la differenza tra tentativo e intrusione riuscita è l'intera storia. Una revisione pubblica due giorni dopo suggerisce che il testo originale fosse andato oltre ciò su cui gli investigatori avevano dato il via libera.

      Il caso sottostante è sostanziale in ogni caso. QTFY ha operato contro obiettivi statunitensi almeno dal 2018, e l'affidavit descrive effettivamente intrusioni confermate, solo meno di quelle implicate nel primo annuncio.

      Quelle violazioni confermate hanno date associate. Gli investigatori collocano le intrusioni nei laboratori nazionali del Dipartimento dell'Energia, negli NIH e in Salute e Servizi Umani a settembre 2024, e furti di dati riusciti da entità non nominate a maggio dello stesso anno.

      Tentativi più recenti sembrano essere falliti. Gli sforzi di accesso a marzo 2026 non hanno avuto successo, il che suggerisce che la campagna stia continuando e che le difese siano migliorate lungo il percorso.

      L'operazione dietro l'annuncio ha coinvolto la maggior parte delle agenzie americane rilevanti. L'FBI, la National Security Agency, il Comando Cyber degli Stati Uniti, il Dipartimento di Giustizia e la CISA hanno tutti partecipato, e il risultato visibile è stato il sequestro di domini utilizzati nella campagna.

      I sequestri di domini sono il rimedio visibile abituale in questi casi. Rimuovono l'infrastruttura da un operatore senza richiedere l'arresto di nessuno, il che è importante quando i sospetti sono al di là della portata di un tribunale americano.

      Nessuno ha spiegato come l'errore sia finito nel comunicato. Nessun funzionario è stato nominato nella correzione, e il dipartimento non ha detto se la formulazione fosse stata redatta dall'affidavit o da un riassunto di esso.

      Per i team di sicurezza europei, il valore pratico risiede nei dettagli piuttosto che nel contesto. I metodi, la cronologia e la selezione degli obiettivi di QTFY sono le parti che si trasferiscono, e le tecniche dello stesso gruppo non si fermano a un confine.

      I gruppi di spionaggio cinesi sono stati insolitamente visibili in Europa quest'anno. Uno ha saccheggiato le caselle di posta universitarie attraverso una vulnerabilità di Roundcube, e un altro ha trasformato una funzionalità integrata di Google Workspace in uno strumento di esfiltrazione contro la ricerca medica e militare.

      La correzione arriva anche in un periodo in cui gli Stati Uniti hanno allentato le proprie regole, avendo recentemente permesso a aziende private di condurre operazioni informatiche offensive all'estero. L'attribuzione sta diventando un affare più affollato, e la precisione su chi è stato compromesso sta diventando più difficile da considerare attendibile.

      L'episodio è anche un promemoria di quanto rapidamente una frase non qualificata possa diffondersi. L'elenco originale è circolato ampiamente prima che apparisse la modifica, e la versione corretta non raggiungerà la maggior parte delle persone che hanno letto la prima.

      I sequestri rimangono, ma ciò che è cambiato è l'affermazione su quanto in profondità siano penetrati gli intrusi, e questo è cambiato dopo che i titoli erano già stati scritti.