Sicherheitsforscher von Group-IB und NyxLab haben mehr als 70.000 Netzwerk-Zugangsdaten aufgedeckt, die mit einer Kampagne der Cyber-Bedrohungsgruppe k0t in Verbindung stehen. Laut Group-IB ging die Operation über den Diebstahl von Zugangsdaten hinaus: Die Angreifer errichteten auch Hintertüren in Unternehmensnetzwerke und eröffneten so eine mögliche Zugangspipeline, die Ransomware-Gruppen zur Infiltration von Unternehmenssystemen ausnutzen könnten.

Zugangsdaten waren nur der Einstiegspunkt

Die Forscher dokumentierten mehrere Eindringungstechniken der Angreifer, darunter den Missbrauch von Passwörtern auf Fortinets FortiGate-Geräten, die Ausnutzung von CVE-2025-64446, einer Schwachstelle in FortiWeb des Unternehmens, sowie den Einsatz von CVE-2026-0257 gegen verwundbare Palo Alto GlobalProtect-Gateways. Da diese Appliances als Schutzschilde für Unternehmensnetzwerke dienen und Fernzugriff auf diese gewähren, zählen sie zu den begehrtesten Zielen für jeden, der in Unternehmenssysteme eindringen möchte.

Zu den gestohlenen Daten gehörten LDAP-Verzeichnisabzüge (Lightweight Directory Access Protocol), die die Benutzerkonten, Gruppen und Ressourcen in einem Unternehmensnetzwerk katalogisieren. Nachdem die Angreifer einen Fuß in der Tür erhalten hatten, hielten sie den Zugriff über OpenConnect-VPN-Verbindungen, Remote-Management-Anwendungen und das Command-and-Control-Framework AdaptixC2 aufrecht. Einige Opfer waren zudem von Datendiebstahl betroffen. Viele der FortiGate-Kompromittierungen ereigneten sich zwischen Februar und Juni 2026.

Anschließend erschienen mehrere Opfer auf den Leak-Seiten der Ransomware-Gruppen Qilin und The Gentlemen. Das Muster deutet darauf hin, dass k0t möglicherweise vom Zugriff auf kompromittierte Netzwerke profitiert, obwohl Forscher diese Verbindung noch nicht bestätigt haben. Der Verkauf von Netzwerkzugängen an Ransomware-Banden ist ein etabliertes kriminelles Geschäftsmodell, das als Initial Access Brokering bekannt ist.

Die Kampagne zeigte zudem eine erhebliche Reichweite in der Region Asien-Pazifik, aus der 37,6 % aller beobachteten eindeutigen Domains stammen. Die Forscher betonten, dass dies lediglich die Anzahl der in der Region aktiven Geräte widerspiegeln kann und nicht notwendigerweise auf einen gezielten Fokus auf asiatische Ziele hinweist.

FortiBleed bleibt eine separate, aktive Bedrohung

Eine am 6. Oktober 2026 von FBI und U.S. Secret Service herausgegebene Warnung machte darauf aufmerksam, dass FortiBleed weiterhin eine Bedrohung für FortiGate-Firewalls und SSL-VPN-Gateways darstellt. In dieser Kampagne verwendeten die Angreifer zuvor erlangte Zugangsdaten erneut, setzten GPU-basierte Systeme zum Dekodieren von Passwort-Hashes ein und erstellten neue Administratorkonten – zeitweise gelang es ihnen sogar, Opfer aus ihren eigenen Geräten auszusperren.

FortiBleed hat sich weltweit verbreitet: SOCRadar verifizierte mehr als 86.644 kompromittierte Geräte in 194 Ländern. Fortinet erklärte, die Angreifer hätten gestohlene Login-Daten wiederverwendet und versucht, Passwörter zu erraten, und dass die Kampagne keine neu offengelegte Fortinet-Schwachstelle beinhaltete.

Group-IB fand wenig Überschneidung zwischen den Daten von FortiBleed und den gestohlenen Daten von k0t, schließt eine Verbindung zwischen den beiden Operationen aber nicht aus. Bislang gibt es keine Hinweise darauf, dass dieselben Angreifer hinter beiden Vorfällen stecken. Die Zahlen messen zudem unterschiedliche Dinge – 70.000 Zugangsdaten bei k0t gegenüber 86.644 Geräten bei FortiBleed – und eine Kombination würde das tatsächliche Ausmaß der Ereignisse verzerren.

Vom Erstzugriff zur Ransomware in 22 Sekunden

Verizons Data Breach Investigations Report 2026 ergab, dass die Ausnutzung von Schwachstellen für 31 % der Datenschutzverletzungen verantwortlich war und damit gestohlene Zugangsdaten als führende Einstiegsmethode überholte. Dennoch wurden nur 26 % der kritischen, aktiv ausgenutzten Schwachstellen vollständig behoben, wobei die mediane Zeit zur Behebung 43 Tage erreichte.

Diese Verzögerung ist besonders besorgniserregend, da Angreifer Schwachstellen ausnutzen können, bevor Patches verfügbar sind. Mandiant's M-Trends 2026 schätzten eine mittlere Zeit zur Ausnutzung von minus sieben Tagen, was darauf hinweist, dass Angriffe oft begannen, bevor Korrekturen veröffentlicht wurden. VPN-Gateways und Router sind besonders schwer zu überwachen, da ihnen häufig Standard-Endpoint-Sicherheitstools fehlen.

Sobald Angreifer Zugang erhalten, kann sich die Bedrohung schnell eskalieren. Mandiant stellte fest, dass die mediane Zeit zwischen einer anfänglichen Kompromittierung und der Übergabe an eine andere kriminelle Gruppe von mehr als acht Stunden im Jahr 2022 auf nur 22 Sekunden im Jahr 2025 sank.

Die Gefahr ist bereits sichtbar. In einem Update vom 19. Oktober berichtete Unit 42 über versuchte Ausnutzung von CVE-2026-0257 – derselben Palo-Alto-Schwachstelle, die in der k0t-Kampagne ausgenutzt wurde – durch die Ransomware-Betreiber Qilin und Inc. Es wurden zudem separate Berichte zu Settra vermerkt. Allerdings fand eine frühere Untersuchung keine Hinweise darauf, dass Angreifer tiefer in die betroffenen Netzwerke vorgedrungen waren.

Was das für Finanz- und Krypto-Infrastruktur bedeutet

IBM stellte fest, dass 62 % der gemeldeten KI-gestützten Angriffe auf kritische Infrastruktur abzielten, während Datenschutzverletzungen im Finanzdienstleistungssektor im Durchschnitt 6,3 Millionen US-Dollar kosteten. Der IWF warnte im Oktober zudem, dass Cyber-Bedrohungen systemisch werden könnten, während sich Finanznetzwerke zunehmend vernetzen.

Krypto-Unternehmen stehen vor ähnlichen Risiken durch kompromittierte Zugänge. Cryptopolitan berichtete über Verluste von rund 2 Millionen US-Dollar im Zusammenhang mit Fetch.ai und NuNet im September 2026. Diese Vorfälle betrafen kompromittierte Signaturdaten und keinen VPN-Zugang, und es besteht keine nachgewiesene Verbindung zu k0t. In beiden Sektoren teilen die gemeldeten Vorfälle ein gemeinsames Element: Der Zugang – ob über ein VPN-Gateway oder eine Signatur-Berechtigung – macht aus einem technischen Eindringen einen finanziellen Verlust.