Les chercheurs en sécurité de Group-IB et NyxLab ont mis au jour plus de 70 000 identifiants réseau liés à une campagne du groupe de cybermenace k0t. Selon Group-IB, l'opération allait au-delà du vol d'identifiants : les attaquants ont également créé des portes dérobées dans des réseaux d'entreprises, ouvrant un possible pipeline d'accès que des groupes de ransomwares pourraient exploiter pour s'infiltrer dans les systèmes des entreprises.

Les identifiants n'étaient que le point d'entrée

Les chercheurs ont documenté plusieurs techniques d'intrusion utilisées par les attaquants, notamment l'abus de mots de passe sur les appareils FortiGate de Fortinet, l'exploitation de CVE-2025-64446, une vulnérabilité affectant FortiWeb de la même société, et l'utilisation de CVE-2026-0257 contre des passerelles Palo Alto GlobalProtect vulnérables. Ces équipements servant de boucliers aux réseaux d'entreprises et donnant un accès distant à ceux-ci, ils figurent parmi les cibles les plus convoitées pour quiconque cherche à s'introduire dans les systèmes d'une entreprise.

Les données dérobées comprenaient des dumps d'annuaires LDAP (Lightweight Directory Access Protocol), qui recensent les comptes utilisateurs, groupes et ressources d'un réseau d'entreprise. Après avoir pris pied dans les systèmes, les attaquants ont maintenu leur accès grâce à des connexions OpenConnect VPN, des applications de gestion à distance et le framework de commande et contrôle AdaptixC2. Certaines victimes ont également subi un vol de données. Nombre des compromissions de FortiGate sont survenues entre février et juin 2026.

Par la suite, plusieurs victimes sont apparues sur les pages de fuite des groupes de ransomwares Qilin et The Gentlemen. Ce schéma suggère que k0t pourrait tirer profit de l'accès à des réseaux compromis, bien que les chercheurs n'aient pas encore vérifié ce lien. La vente de points d'ancrage réseau à des groupes de ransomwares est un modèle commercial criminel établi, connu sous le nom de courtage en accès initial.

La campagne a également montré une portée considérable en Asie-Pacifique, d'où provient 37,6 % de l'ensemble des domaines uniques observés. Les chercheurs ont souligné que cela peut simplement refléter le nombre d'appareils actifs dans la région, plutôt qu'une focalisation délibérée sur des cibles asiatiques.

FortiBleed demeure une menace distincte et active

Une alerte publiée le 6 octobre 2026 par le FBI et le Secret Service américain avertissait que FortiBleed constitue toujours une menace pour les pare-feu FortiGate et les passerelles SSL VPN. Dans cette campagne, les attaquants ont réutilisé des identifiants obtenus précédemment, déployé des systèmes basés sur GPU pour décoder des hachages de mots de passe et créé de nouveaux comptes administrateur — parvenant parfois à verrouiller les victimes hors de leurs propres appareils.

FortiBleed s'est propagé dans le monde entier : SOCRadar a vérifié plus de 86 644 appareils compromis dans 194 pays. Fortinet indiqué que les attaquants ont réutilisé des identifiants de connexion volés et tenté de deviner des mots de passe, et que la campagne n'a pas impliqué de vulnérabilité Fortinet nouvellement divulguée.

Group-IB a relevé peu de recoupements entre FortiBleed et les données volées par k0t, mais n'a pas écarté un lien entre les deux opérations. À ce jour, aucun élément n'indique que les mêmes attaquants sont à l'origine des deux incidents. Les chiffres mesurent par ailleurs des choses différentes — les 70 000 identifiants de k0t contre les 86 644 appareils de FortiBleed — et leur combinaison fausserait l'ampleur réelle des événements.

De l'accès initial au ransomware en 22 secondes

Le rapport 2026 sur les investigations de violations de données de Verizon a révélé que l'exploitation de vulnérabilités représentait 31 % des violations, dépassant le vol d'identifiants comme principal mode d'entrée. Pourtant, seules 26 % des vulnérabilités critiques et connues pour être exploitées ont été entièrement corrigées, avec un délai médian de correction atteignant 43 jours.

Ce délai est particulièrement préoccupant car les attaquants peuvent exploiter des vulnérabilités avant même la disponibilité des correctifs. M-Trends 2026 de Mandiant a estimé un délai moyen d'exploitation de moins sept jours, ce qui indique que les attaques commencent souvent avant la publication des correctifs. Les passerelles VPN et les routeurs sont particulièrement difficiles à surveiller car ils ne disposent souvent pas des outils de sécurité de point de terminaison standards.

Une fois l'accès obtenu, la menace peut s'aggraver rapidement. Mandiant a constaté que le délai médian entre une violation initiale et le transfert à un autre groupe criminel est passé de plus de huit heures en 2022 à seulement 22 secondes en 2025.

Le danger est déjà visible. Dans une mise à jour du 19 octobre, Unit 42 a signalé des tentatives d'exploitation de CVE-2026-0257 — la même faille Palo Alto exploitée dans la campagne k0t — par les opérateurs de ransomwares Qilin et Inc. Il a également fait état de rapports distincts impliquant Settra. Toutefois, son enquête antérieure n'a révélé aucune preuve que les attaquants s'étaient enfoncés davantage dans les réseaux touchés.

Ce que cela signifie pour la finance et les infrastructures crypto

IBM a constaté que 62 % des attaques signalées pilotées par l'IA ciblaient des infrastructures critiques, le coût moyen des violations dans les services financiers s'élevant à 6,3 millions de dollars. Le FMI a également averti en octobre que les cybermenaces pourraient devenir systémiques à mesure que les réseaux financiers s'interconnectent davantage.

Les entreprises crypto font face à des risques similaires liés aux accès compromis. Cryptopolitan a rapporté des pertes d'environ 2 millions de dollars impliquant Fetch.ai et NuNet en septembre 2026. Ces incidents impliquaient des identifiants de signature compromis plutôt qu'un accès VPN, et aucun lien établi avec k0t n'existe. Dans les deux secteurs, les incidents signalés partagent un élément commun : l'accès — que ce soit via une passerelle VPN ou un identifiant de signature — est ce qui transforme une intrusion technique en perte financière.