Una campagna di cyberattacco su larga scala attribuita al threat actor k0t ha esposto oltre 70.000 credenziali, intensificando le preoccupazioni per la sicurezza delle reti aziendali e il potenziale di successivi attacchi ransomware. L'operazione ha preso di mira firewall vulnerabili e sistemi di accesso remoto utilizzati da aziende di tutto il mondo.

I ricercatori di cybersecurity di Group-IB e NyxLab hanno reso pubblici i risultati il 21 ottobre 2026. La loro indagine indica che gli aggressori hanno stabilito un accesso persistente alle reti compromesse, creando potenzialmente opportunità per gli operatori di ransomware.

Come gli aggressori hanno violato le reti aziendali

La campagna k0t si è concentrata su prodotti di sicurezza esposti a Internet, tra cui firewall Fortinet FortiGate, sistemi FortiWeb e gateway Palo Alto Networks GlobalProtect. Gli operatori hanno combinato attacchi alle password con lo sfruttamento di vulnerabilità di sicurezza note, tra cui CVE-2025-64446, che interessa FortiWeb, e CVE-2026-0257, che interessa determinate configurazioni di GlobalProtect.

I dispositivi di perimetro di questo tipo sono obiettivi attrattivi perché esposti alla rete Internet pubblica, e una singola compromissione può esporre dati di autenticazione memorizzati e record di directory in un'intera organizzazione.

Una volta all'interno, gli operatori hanno estratto le credenziali memorizzate e le informazioni di directory. Per mantenere il proprio punto d'appoggio, si sono affidati a connessioni VPN OpenConnect, software di gestione remota e allo strumento AdaptixC2. I ricercatori hanno identificato oltre 70.000 credenziali esposte e record correlati, pur avvertendo che questa cifra non conferma che ogni credenziale fosse rimasta valida o che ciascuna abbia portato a un'intrusione riuscita.

Possibili collegamenti con operazioni ransomware

Gli investigatori hanno scoperto che alcune organizzazioni colpite sono comparse successivamente su siti di leak legati a ransomware associati ai gruppi Qilin e The Gentlemen. Questo schema suggerisce che k0t potrebbe operare come initial access broker, ottenendo accessi non autorizzati alla rete per conto di altri gruppi criminali. Tuttavia, i ricercatori non hanno confermato alcuna relazione diretta tra la campagna e quegli operatori di ransomware. Questa distinzione è importante perché gli access broker e i gruppi che eseguono crittografia ed estorsione sono tipicamente operazioni separate, ed è per questo che i ricercatori considerano le comparse sui siti di leak uno schema da verificare piuttosto che un collegamento confermato.

L'indagine ha inoltre identificato somiglianze con FortiBleed, una campagna precedente che coinvolgeva credenziali Fortinet compromesse. Nonostante questi parallelismi, i ricercatori hanno riscontrato una sovrapposizione minima tra i due set di dati di credenziali e non sono riusciti a stabilire se gli stessi operatori fossero dietro entrambe le campagne. Il confronto riflette comunque una preoccupazione ricorrente per i difensori: ondate ripet di attacchi contro appliance di perimetro ampiamente diffuse.

Le imprese finanziarie e crypto affrontano un rischio elevato

Il set di dati esposto ha mostrato che l'Asia-Pacifico rappresentava il 37,6% dei domini unici, sebbene i ricercatori abbiano avvertito che questa distribuzione non indica necessariamente un targeting regionale deliberato.

Per gli istituti finanziari e le imprese di criptovalute, l'accesso compromesso alla rete comporta un rischio operativo significativo. Gli aggressori in possesso di credenziali privilegiate potrebbero potenzialmente raggiungere sistemi sensibili, interrompere servizi o rubare informazioni riservate. Gli investigatori non hanno, tuttavia, stabilito un collegamento diretto tra k0t e alcun furto di criptovalute.

Gli specialisti di sicurezza raccomandano di applicare le patch ai dispositivi esposti, limitare l'accesso amministrativo, ruotare le credenziali compromesse e verificare le attività VPN sospette. La divulgazione di identificatori CVE specifici offre ai team di rete un punto di partenza concreto per la remediation. I risultati sottolineano come le debolezze nelle infrastrutture di rete ampiamente distribuite possano aprire la strada a una cybercriminalità più ampia. Mentre le indagini proseguono, il sospetto collegamento tra il furto di credenziali e le operazioni ransomware rimane una questione irrisolta di grande importanza, e i dettagli da monitorare sono se altre organizzazioni colpite emergeranno sui siti di leak e se i ricercatori riusciranno a collegare direttamente k0t a specifici operatori di ransomware.