Investigadores de seguridad de Group-IB y NyxLab descubrieron más de 70,000 credenciales de red vinculadas a una campaña del grupo de amenazas cibernéticas k0t. Según Group-IB, la operación fue más allá del robo de credenciales: los atacantes también crearon puertas traseras en redes corporativas, abriendo un posible canal de acceso que grupos de ransomware podrían aprovechar para infiltrarse en los sistemas de las empresas.

Las credenciales eran solo el punto de entrada

Los investigadores documentaron varias técnicas de intrusión utilizadas por los atacantes, incluyendo el abuso de contraseñas en los dispositivos FortiGate de Fortinet, la explotación de CVE-2025-64446, una vulnerabilidad que afecta el FortiWeb de la compañía, y el uso de CVE-2026-0257 contra pasarelas vulnerables de Palo Alto GlobalProtect. Dado que estos equipos actúan como escudos para las redes corporativas y otorgan acceso remoto a ellas, se encuentran entre los objetivos más codiciados para quienes buscan penetrar en los sistemas de las empresas.

Los datos robados incluían volcados de directorios LDAP (Lightweight Directory Access Protocol), que catalogan las cuentas de usuario, grupos y recursos dentro de una red corporativa. Tras obtener un punto de apoyo, los atacantes mantuvieron el acceso mediante conexiones VPN de OpenConnect, aplicaciones de administración remota y el framework de comando y control AdaptixC2. Algunas víctimas también sufrieron robo de datos. Muchas de las compromisiones de FortiGate ocurrieron entre febrero y junio de 2026.

Posteriormente, varias víctimas aparecieron en las páginas de filtración de los grupos de ransomware Qilin y The Gentlemen. Este patrón sugiere que k0t podría estar obteniendo beneficios del acceso a redes comprometidas, aunque los investigadores aún no han verificado esa conexión. La venta de puntos de acceso a redes a bandas de ransomware es un modelo criminal consolidado conocido como initial access brokering.

La campaña también mostró un alcance considerable en Asia-Pacífico, origen del 37.6% de todos los dominios únicos observados. Los investigadores subrayaron que esto puede simplemente reflejar la cantidad de dispositivos activos en la región, y no necesariamente un enfoque deliberado en objetivos asiáticos.

FortiBleed sigue siendo una amenaza activa y separada

Un aviso emitido el 6 de octubre de 2026 por el FBI y el Servicio Secreto de EE. UU. advirtió que FortiBleed sigue siendo una amenaza para los firewalls FortiGate y las pasarelas SSL VPN. En esa campaña, los atacantes reutilizaron credenciales obtenidas previamente, desplegaron sistemas basados en GPU para descifrar hashes de contraseñas y crearon nuevas cuentas de administrador, llegando en ocasiones a bloquear el acceso de las víctimas a sus propios dispositivos.

FortiBleed se ha extendido por todo el mundo: SOCRadar verificó más de 86,644 dispositivos comprometidos en 194 países. Fortinet declaró que los atacantes reutilizaron credenciales de inicio de sesión robadas e intentaron adivinar contraseñas, y que la campaña no involucró una vulnerabilidad de Fortinet recién divulgada.

Group-IB encontró poca superposición entre FortiBed y los datos robados por k0t, pero no ha descartado una conexión entre ambas operaciones. Hasta ahora, no hay evidencia que indique que los mismos atacantes estuvieron detrás de ambos incidentes. Las cifras además miden cosas distintas: las 70,000 credenciales de k0t frente a los 86,644 dispositivos de FortiBleed, y combinarlas distorsionaría la escala real de los hechos.

Del acceso inicial al ransomware en 22 segundos

El Informe de Investigaciones de Violaciones de Datos 2026 de Verizon encontró que la explotación de vulnerabilidades representó el 31% de las brechas, superando a las credenciales robadas como el principal método de entrada. Sin embargo, solo el 26% de las vulnerabilidades críticas conocidas y explotadas fueron completamente corregidas, con un tiempo mediano de reparación que alcanzó los 43 días.

Ese retraso es especialmente preocupante porque los atacantes pueden explotar vulnerabilidades antes de que los parches estén disponibles. M-Trends 2026 de Mandiant estimó un tiempo medio de explotación de menos siete días, lo que indica que los ataques a menudo comienzan antes de que se publiquen las correcciones. Las pasarelas VPN y los routers son especialmente difíciles de monitorear porque a menudo carecen de herramientas estándar de seguridad de endpoints.

Una vez que los atacantes obtienen acceso, la amenaza puede escalar rápidamente. Mandiant encontró que el tiempo mediano entre una brecha inicial y la transferencia a otro grupo criminal cayó de más de ocho horas en 2022 a solo 22 segundos en 2025.

El peligro ya es visible. En una actualización del 19 de octubre, Unit 42 reportó intentos de explotación de CVE-2026-0257 —la misma falla de Palo Alto explotada en la campaña de k0t— por parte de los operadores de ransomware Qilin e Inc. También señaló informes separados que involucran a Settra. Sin embargo, su investigación anterior no encontró evidencia de que los atacantes se hubieran adentrado más profundamente en las redes afectadas.

Lo que significa para las finanzas y la infraestructura cripto

IBM encontró que el 62% de los ataques impulsados por IA reportados apuntaron a infraestructura crítica, mientras que las brechas en servicios financieros promediaron 6.3 millones de dólares. El FMI también advirtió en octubre que las amenazas cibernéticas podrían volverse sistémicas a medida que las redes financieras se vuelven más interconectadas.

Las empresas cripto enfrentan riesgos similares por el acceso comprometido. Cryptopolitan informó pérdidas de aproximadamente 2 millones de dólares en incidentes que involucraron a Fetch.ai y NuNet en septiembre de 2026. Esos incidentes involucraron credenciales de firma comprometidas en lugar de acceso VPN, y no existe una conexión establecida con k0t. En ambos sectores, los incidentes reportados comparten un elemento común: el acceso —ya sea a través de una pasarela VPN o una credencial de firma— es lo que convierte una intrusión técnica en una pérdida financiera.