I ricercatori di sicurezza di Group-IB e NyxLab hanno scoperto oltre 70.000 credenziali di rete legate a una campagna del gruppo di minacce informatiche k0t. Secondo Group-IB, l'operazione è andata oltre il furto di credenziali: gli aggressori hanno inoltre creato backdoor nelle reti aziendali, aprendo un possibile canale di accesso che i gruppi ransomware potrebbero sfruttare per infiltrarsi nei sistemi aziendali.

Le credenziali erano solo il punto d'ingresso

I ricercatori hanno documentato diverse tecniche di intrusione utilizzate dagli aggressori, tra cui l'abuso delle password sui dispositivi FortiGate di Fortinet, lo sfruttamento di CVE-2025-64446, una vulnerabilità che riguarda FortiWeb della stessa azienda, e l'uso di CVE-2026-0257 contro gateway Palo Alto GlobalProtect vulnerabili. Poiché questi dispositivi fungono da scudo per le reti aziendali e ne consentono l'accesso remoto, rientrano tra i bersagli più ambiti per chiunque cerchi di penetrare nei sistemi aziendali.

I dati rubati includevano dump delle directory LDAP (Lightweight Directory Access Protocol), che catalogano account utente, gruppi e risorse all'interno di una rete aziendale. Dopo aver ottenuto un punto d'appoggio, gli aggressori hanno mantenuto l'accesso tramite connessioni VPN OpenConnect, applicazioni di gestione remota e il framework di comando e controllo AdaptixC2. Alcune vittime hanno subito anche il furto di dati. Molte dei compromissi FortiGate si sono verificati tra febbraio e giugno 2026.

Successivamente, diverse vittime sono comparse sulle pagine di leak dei gruppi ransomware Qilin e The Gentlemen. Lo schema suggerisce che k0t possa trarre profitto dall'accesso a reti compromesse, anche se i ricercatori devono ancora verificare questo collegamento. La vendita di punti d'accesso alla rete a crew ransomware è un modello criminale consolidato noto come initial access brokering.

La campagna ha inoltre mostrato una notevole portata in Asia-Pacifico, origine del 37,6% di tutti i domini unici osservati. I ricercatori hanno sottolineato che questo potrebbe semplicemente riflettere il numero di dispositivi attivi nella regione, piuttosto che una focus deliberata su bersagli asiatici.

FortiBleed resta una minaccia separata e attiva

Un avviso emesso il 6 ottobre 2026 da FBI e Secret Service statunitense ha avvertito che FortiBleed rappresenta ancora una minaccia per i firewall FortiGate e i gateway SSL VPN. In quella campagna, gli aggressori hanno riutilizzato credenziali ottenute in precedenza, impiegato sistemi basati su GPU per decodificare gli hash delle password e creato nuovi account amministratore, riuscendo talvolta a bloccare le vittime fuori dai propri dispositivi.

FortiBleed si è diffuso in tutto il mondo: SOCRadar ha verificato oltre 86.644 dispositivi compromessi in 194 paesi. Fortinet ha dichiarato che gli aggressori hanno riutilizzato credenziali di accesso rubate e tentato di indov le password, e che la campagna non ha coinvolto una vulnerabilità Fortinet divulgata di recente.

Group-IB ha riscontrato scarso sovrapposizione tra i dati rubati da FortiBleed e quelli di k0t, ma non ha escluso un collegamento tra le due operazioni. Finora, nessuna evidenza indica che gli stessi aggressori siano stati dietro entrambi gli incidenti. Le cifre misurano inoltre cose diverse: le 70.000 credenziali di k0t contro gli 86.644 dispositivi di FortiBleed, e combinarle distorcerebbe l'intera scala degli eventi.

Dall'accesso iniziale al ransomware in 22 secondi

Il Data Breach Investigations Report 2026 di Verizon ha rilevato che lo sfruttamento di vulnerabilità ha rappresentato il 31% dei breach, superando le credenziali rubate come principale metodo di ingresso. Tuttavia, solo il 26% delle vulnerabilità critiche note come sfruttate è stato interamente rimediato, con un tempo mediano di correzione che ha raggiunto i 43 giorni.

Questo ritardo è particolarmente preoccupante perché gli aggressori possono sfruttare le vulnerabilità prima che le patch diventino disponibili. M-Trends 2026 di Mandiant ha stimato un tempo medio di sfruttamento di meno sette giorni, indicando che gli attacchi spesso iniziano prima del rilascio delle correzioni. I gateway VPN e i router sono particolarmente difficili da monitorare perché spesso privi di strumenti standard di sicurezza endpoint.

Una volta che gli aggressori ottengono l'accesso, la minaccia può escalate rapidamente. Mandiant ha rilevato che il tempo mediano tra un breach iniziale e il passaggio a un altro gruppo criminale è sceso da più di otto ore nel 2022 a soli 22 secondi nel 2025.

Il pericolo è già visibile. In un aggiornamento del 19 ottobre, Unit 42 ha segnalato tentativi di sfruttamento di CVE-2026-0257 — la stessa vulnerabilità Palo Alto sfruttata nella campagna k0t — da parte degli operatori ransomware Qilin e Inc. Ha inoltre rilevato segnalazioni separate riguardanti Settra. Tuttavia, la sua precedente indagine non ha trovato prove che gli aggressori fossero penetrati più a fondo nelle reti interessate.

Cosa significa per la finanza e le infrastrutture crypto

IBM ha rilevato che il 62% degli attacchi basati su IA segnalati aveva come bersaglio infrastrutture critiche, mentre i breach nei servizi finanziari hanno avuto un costo medio di 6,3 milioni di dollari. Anche l'FMI ha avvertito in ottobre che le minacce informatiche potrebbero diventare sistemiche man mano che le reti finanziarie si interconnettono sempre più.

Le aziende crypto affrontano rischi simili derivanti da accessi compromessi. Cryptopolitan ha riferito di perdite di circa 2 milioni di dollari che coinvolgono Fetch.ai e NuNet a settembre 2026. Quegli incidenti hanno coinvolto credenziali di firma compromesse anziché l'accesso VPN, e non esiste un collegamento accertato con k0t. In entrambi i settori, gli incidenti segnalati condividono un elemento comune: l'accesso — sia attraverso un gateway VPN che una credenziale di firma — è ciò che trasforma un'intrusione tecnica in una perdita finanziaria.