Une campagne de cyberattaque à grande échelle attribuée à l'acteur malveillant k0t a exposé plus de 70 000 identifiants, intensifiant les inquiétudes concernant la sécurité des réseaux d'entreprise et le risque d'attaques ultérieures par ransomwares. L'opération ciblait des pare-feu vulnérables et des systèmes d'accès à distance utilisés par des entreprises dans le monde entier.

Des chercheurs en cybersécurité de Group-IB et NyxLab ont rendu publics leurs conclusions le 21 octobre 2026. Leur enquête indique que les attaquants ont établi un accès persistant aux réseaux compromis, créant potentiellement des opportunités pour des opérateurs de ransomwares.

Comment les attaquants ont percé les réseaux d'entreprise

La campagne k0t s'est concentrée sur des produits de sécurité exposés à Internet, notamment des pare-feu Fortinet FortiGate, des systèmes FortiWeb et des passerelles GlobalProtect de Palo Alto Networks. Les opérateurs ont combiné des attaques par mot de passe avec l'exploitation de failles de sécurité connues, parmi lesquelles CVE-2025-64446, qui affecte FortiWeb, et CVE-2026-0257, qui affecte certaines configurations GlobalProtect.

Les équipements de périmètre de ce type constituent des cibles attractives car ils sont exposés à l'Internet public, et une seule compromission peut exposer des données d'authentification stockées ainsi que des enregistrements d'annuaire dans toute une organisation.

Une fois à l'intérieur, les opérateurs ont extrait les identifiants stockés et les informations d'annuaire. Pour maintenir leur emprise, ils ont utilisé des connexions OpenConnect VPN, des logiciels de gestion à distance et l'outil AdaptixC2. Les chercheurs ont identifié plus de 70 000 identifiants exposés et enregistrements associés, tout en précisant que ce chiffre ne confirme pas que chaque identifiant est resté valide ni que chacun a conduit à une intrusion réussie.

Liens possibles avec des opérations de ransomwares

Les enquêteurs ont constaté que certaines organisations touchées sont ensuite apparues sur des sites de fuites de ransomwares associés aux groupes Qilin et The Gentlemen. Ce schéma suggère que k0t pourrait opérer comme courtier en accès initial, obtenant un accès réseau non autorisé au profit d'autres groupes criminels. Cependant, les chercheurs n'ont confirmé aucune relation directe entre la campagne et ces opérateurs de ransomwares. Cette distinction est importante car les courtiers en accès et les équipes qui mènent le chiffrement et l'extorsion sont généralement des opérations distinctes, c'est pourquoi les chercheurs considèrent ces apparitions sur les sites de fuites comme un schéma à vérifier plutôt qu'un lien confirmé.

L'enquête a également identifié des similitudes avec FortiBleed, une campagne antérieure impliquant des identifiants Fortinet compromis. Malgré ces parallèles, les chercheurs ont trouvé un recoupement minimal entre les deux ensembles de données d'identifiants et n'ont pas pu établir si les mêmes opérateurs étaient derrière les deux campagnes. La comparaison reflète néanmoins une préoccupation récurrente pour les défenseurs : des vagues répétées d'attaques contre des équipements de périmètre largement déployés.

Les entreprises financières et crypto font face à un risque accru

L'ensemble de donnéesées a montré que l'Asie-Pacifique représentait 37,6 % des domaines uniques, bien que les chercheurs aient précisé que cette répartition n'indique pas nécessairement un ciblage régional délibéré.

Pour les institutions financières et les entreprises de crypto-monnaies, un accès réseau compromis comporte un risque opérationnel significatif. Des attaquants détenant des identifiants privilégiés pourraient potentiellement accéder à des systèmes sensibles, perturber des services ou voler des informations confidentielles. Les enquêteurs n'ont toutefois pas établi de lien direct entre k0t et un vol de crypto-monnaies.

Les spécialistes de la sécurité recommandent d'appliquer des correctifs aux équipements exposés, de restreindre l'accès administratif, de renouveler les identifiants compromis et d'examiner toute activité VPN suspecte. La divulgation d'identifiants CVE précis donne aux équipes réseau un point de départ concret pour les mesures de remédiation. Ces conclusions soulignent comment les faiblesses d'infrastructures réseau largement déployées peuvent ouvrir la voie à une cybercriminalité plus large. Alors que les enquêtes se poursuivent, le lien suspecté entre le vol d'identifiants et les opérations de ransomwares demeure une préoccupation importante non résolue, et les éléments à surveiller sont l'apparition éventuelle d'autres organisations touchées sur les sites de fuites et la capacité des chercheurs à relier directement k0t à des opérateurs de ransomwares spécifiques.