脅威アクターk0tの関与が疑われる大規模なサイバー攻撃キャンペーンにより、7万件を超える認証情報が流出し、企業ネットワークのセキュリティと、その後のランサムウェア攻撃の可能性に対する懸念が強まっている。この攻撃は、世界中の企業が利用する脆弱なファイアウォールやリモートアクセスシステムを標的とした。

Group-IBとNyxLabのサイバーセキュリティ研究者は2026年10月21日にこの調査結果を公表した。調査によると、攻撃者は侵害されたネットワークへの永続的なアクセスを確立しており、ランサムウェア実行グループに攻撃の機会を与えている可能性があるという。

攻撃者はいかにして企業ネットワークに侵入したか

k0tのキャンペーンは、Fortinet FortiGateファイアウォール、FortiWebシステム、Palo Alto Networks GlobalProtectゲートウェイなど、インターネットに公開されたセキュリティ製品に焦点を当てたものだった。攻撃者はパスワード攻撃と既知の脆弱性の悪用を組み合わせており、その中にはFortiWebに影響するCVE-2025-64446や、特定のGlobalProtect構成に影響するCVE-2026-0257が含まれる。

この種の境界デバイスは公開インターネットに面しているため攻撃者にとって魅力的な標的となり、一度の侵害で組織全体の認証データやディレクトリ情報が露出する可能性がある。

侵入に成功した攻撃者は、保存された認証情報とディレクトリ情報を抽出した。足場を維持するために、OpenConnect VPN接続、リモート管理ソフトウェア、AdaptixC2ツールを利用した。研究者は7万件を超える露出した認証情報および関連レコードを特定したが、この数字はすべての認証情報が有効なままだったことや、それぞれが侵入の成功につながったことを裏付けるものではないと注意を促している。

ランサムウェア活動との可能性のある関連

調査者は、一部の被害組織がその後、QilinおよびThe Gentlemenのグループに関連するランサムウェア漏洩サイトに掲載されたことを確認した。このパターンは、k0tが初期アクセスブローカーとして活動し、他のグループに不正なネットワークアクセスを提供している可能性を示唆する。ただし、研究者はこのキャンペーンとそれらのランサムウェア実行グループとの直接的な関係を確認していない。この区別は重要である。初期アクセスブローカーと暗号化・恐喝を実行する集団は通常、別個の組織であり、そのため研究者は漏洩サイトへの掲載を確認済みの関連ではなく、検証すべきパターンとして扱っている。

調査ではまた、侵害されたFortinetの認証情報に関わる過去のキャンペーンFortiBleedとの類似点も特定された。こうした類似はあるものの、研究者は両方の認証情報データセット間の重なりが最小限であることを見出し、同じ攻撃者が両方のキャンペーンの背後にいたかどうかは判断できなかった。それでもこの比較は、広く展開された境界機器に対する攻撃の波が繰り返されるという、防御側にとっての慢性的な懸念を浮き彫りにしている。

金融・暗号資産事業者は高いリスクに直面

流出したデータセットでは、アジア太平洋地域が一意のドメインの37.6%を占めていたが、研究者はこの分布が必ずしも意図的な地域的標的化を示すものではないと注意を促している。

金融機関および暗号資産事業者にとって、侵害されたネットワークアクセスは重大な運用リスクをもたらす。特権的な認証情報を手にした攻撃者は、機密システムへのアクセス、サービスの妨害、機密情報の窃取を図る可能性がある。ただし、調査者はk0tといかなる暗号資産窃取との間の直接的な関連も確認していない。

セキュリティ専門家は、公開されたデバイスへのパッチ適用、管理アクセスの制限、侵害された認証情報のローテーション、不審なVPNアクティビティの点検を推奨している。具体的なCVE識別子の開示は、ネットワークチームに対応の出発点を与えるものだ。今回の調査結果は、広く展開されたネットワークインフラの脆弱性が、より広範なサイバー犯罪への扉を開きかねないことを浮き彫りにしている。調査が続く中、認証情報窃取とランサムウェア活動の疑われる関連は依然として重要な未解決の懸念事項であり、今後注目すべきは、さらなる被害組織が漏洩サイトに掲載されるかどうか、そして研究者がk0tを特定のランサムウェア実行グループと直接結び付けられるかどうかである。