Una campaña de ciberataque a gran escala atribuida al actor de amenazas k0t ha expuesto más de 70,000 credenciales, intensificando la preocupación por la seguridad de las redes corporativas y la posibilidad de ataques de ransomware posteriores. La operación atacó firewalls vulnerables y sistemas de acceso remoto utilizados por empresas de todo el mundo.

Investigadores de ciberseguridad de Group-IB y NyxLab dieron a conocer los hallazgos el 21 de octubre de 2026. Su investigación indica que los atacantes establecieron acceso persistente a las redes comprometidas, creando potencialmente oportunidades para operadores de ransomware.

Cómo los atacantes violaron las redes corporativas

La campaña de k0t se centró en productos de seguridad expuestos a internet, incluidos firewalls Fortinet FortiGate, sistemas FortiWeb y gateways GlobalProtect de Palo Alto Networks. Los operadores combinaron ataques de contraseñas con la explotación de vulnerabilidades de seguridad conocidas, entre ellas CVE-2025-64446, que afecta a FortiWeb, y CVE-2026-0257, que afecta a ciertas configuraciones de GlobalProtect.

Los dispositivos perimetrales de este tipo son objetivos atractivos porque están expuestos a internet público, y un solo compromiso puede exponer datos de autenticación almacenados y registros de directorio en toda una organización.

Una vez dentro, los operadores extrajeron credenciales almacenadas e información de directorio. Para mantener su punto de apoyo, recurrieron a conexiones VPN de OpenConnect, software de gestión remota y la herramienta AdaptixC2. Los investigadores identificaron más de 70,000 credenciales expuestas y registros relacionados, aunque advirtieron que esta cifra no confirma que cada credencial siguiera siendo válida ni que cada una haya llevado a una intrusión exitosa.

Posibles vínculos con operaciones de ransomware

Los investigadores descubrieron que algunas organizaciones afectadas aparecieron posteriormente en sitios de filtración de ransomware asociados con los grupos Qilin y The Gentlemen. El patrón sugiere que k0t podría operar como un bróker de acceso inicial, obteniendo acceso no autorizado a redes en nombre de otros grupos criminales. Sin embargo, los investigadores no han confirmado ninguna relación directa entre la campaña y esos operadores de ransomware. Esa distinción es importante porque los brókeres de acceso y los grupos que ejecutan el cifrado y la extorsión suelen ser operaciones separadas, razón por la cual los investigadores tratan las apariciones en sitios de filtración como un patrón por verificar y no como un vínculo confirmado.

La investigación también identificó similitudes con FortiBleed, una campaña anterior que involucraba credenciales de Fortinet comprometidas. A pesar de estos paralelismos, los investigadores encontraron una superposición mínima entre los dos conjuntos de datos de credenciales y no pudieron determinar si los mismos operadores estuvieron detrás de ambas campañas. La comparación, no obstante, refleja una preocupación recurrente para los defensores: oleadas repetidas de ataques contra equipos perimetrales ampliamente desplegados.

Las empresas financieras y de cripto enfrentan un riesgo elevado

El conjunto de datos expuestos mostró que Asia-Pacífico representó el 37.6% de los dominios únicos, aunque los investigadores advirtieron que esta distribución no indica necesariamente un ataque regional deliberado.

Para las instituciones financieras y las empresas de criptomonedas, el acceso comprometido a la red conlleva un riesgo operativo significativo. atacantes que posean credenciales privilegiadas podrían acceder potencialmente a sistemas sensibles, interrumpir servicios o robar información confidencial. Sin embargo, los investigadores no han establecido una conexión directa entre k0t y ningún robo de criptomonedas.

Los especialistas en seguridad recomiendan aplicar parches a los dispositivos expuestos, restringir el acceso administrativo, rotar las credenciales comprometidas y revisar la actividad VPN sospechosa. La divulgación de identificadores CVE específicos brinda a los equipos de red un punto de partida concreto para la remediación. Los hallazgos subrayan cómo las debilidades en la infraestructura de red ampliamente desplegada pueden abrir la puerta a un cibercrimen más amplio. A medida que continúan las investigaciones, el presunto vínculo entre el robo de credenciales y las operaciones de ransomware sigue siendo una preocupación importante sin resolver, y los detalles a observar son si más organizaciones afectadas aparecen en sitios de filtración y si los investigadores pueden vincular directamente a k0t con operadores específicos de ransomware.