セキュリティ研究者らは、サイバー脅威グループk0tによるキャンペーンに関連する7万件を超えるネットワーク認証情報を突き止めた。Group-IBによると、この攻撃は認証情報の窃取にとどまらず、企業ネットワークへのバックドアも作成しており、ランサムウェアグループが企業システムに侵入するために悪用しうるアクセス供給経路が開かれている可能性があるという。

認証情報はあくまで侵入の入り口にすぎなかった

研究者らが記録した攻撃者の侵入手法には、FortinetのFortiGateデバイスにおけるパスワードの悪用、同社のFortiWebに影響する脆弱性CVE-2025-64446の悪用、そして脆弱なPalo Alto GlobalProtectゲートウェイに対するCVE-2026-0257の悪用が含まれる。これらのアプライアンスは企業ネットワークの防御壁として機能し、リモートアクセスを許可するため、企業システムへの侵入を狙う者にとって最も魅力的な標的のひとつとなっている。

窃取されたデータには、企業ネットワーク内のユーザーアカウント、グループ、リソースを一覧化するLDAP（Lightweight Directory Access Protocol）ディレクトリのダンプが含まれていた。攻撃者は足場を確保した後、OpenConnect VPN接続、リモート管理アプリケーション、AdaptixC2コマンド＆コントロールフレームワークを通じてアクセスを維持した。データ窃取の被害を受けた組織もあった。FortiGateの侵害事例の多くは2026年2月から6月の間に発生している。

その後、複数の被害者がランサムウェアグループのQilinとThe Gentlemenの漏えいページに掲載された。このパターンは、k0tが侵害されたネットワークへのアクセスを売却して利益を得ている可能性を示唆するが、研究者らはその関連をまだ確認していない。ランサムウェア集団にネットワークへの足場を売却することは「初期アクセスブローカー」として知られる確立された犯罪ビジネスモデルである。

このキャンペーンはアジア太平洋地域でもかなりの規模に及んでおり、観測されたユニークドメイン全体の37.6%が同地域に由来していた。ただし研究者らは、これは単に同地域で稼働しているデバイスの数を反映したものであり、必ずしもアジアの標的が重点的に狙われたことを意味するわけではないと強調している。

FortiBleedは別個の、現在も活動中の脅威

2026年10月6日にFBIと米シークレットサービスが発行したアドバイザリーは、FortiBleedが依然としてFortiGateファイアウォールとSSL VPNゲートウェイへの脅威であると警告した。このンペーンでは、攻撃者が以前に入手した認証情報を再利用し、GPUベースのシステムを駆使してパスワードハッシュを解読し、新たな管理者アカウントを作成。場合によっては被害者自身が自分のデバイスにアクセスできなくなる事態も生じた。

FortiBleedは世界規模に拡大している。SOCRadarは、194か国で8万6,644件を超えるデバイスの侵害を確認した。Fortinetは、攻撃者が盗まれたログイン認証情報を再利用し、パスワードの推測を試みたこと、またこのキャンペーンには新たに公開されたFortinetの脆弱性が関わっていなかったことを明らかにしている。

Group-IBは、FortiBleedとk0tの窃取データの間に重なりはほとんど見られなかったとしながらも、両作戦間の関連性は排除していない。現時点で、両インシデントの背後に同じ攻撃者がいたことを示す証拠はない。また、両者の数値は異なるものを測定している。すなわち、k0tの「7万件の認証情報」とFortiBleedの「8万6,644台のデバイス」であり、これらを合算すれば事態の全体像が歪められることになる。

初期侵入からランサムウェアへの引き渡しまで22秒

Verizonの2026年データ侵害調査レポートによると、脆弱性の悪用が侵害の31%を占め、盗まれた認証情報を追い抜いて主要な侵入手段となった。しかし、悪用が確認されている重大な既知の脆弱性のうち完全に修正されたのは26%にとどまり、修正までの中央値は43日に達した。

この遅れが特に懸念されるのは、攻撃者がパッチが提供される前に脆弱性を悪用できるためだ。MandiantのM-Trends 2026は、平均悪用時間がマイナス7日と推定しており、攻撃が修正プログラムの公開前に始まることが多いことを示している。VPNゲートウェイやルーターなどのネットワークデバイスは、標準的なエンドポイントセキュリティツールが導入されていないことが多く、監視が特に難しい。

攻撃者が一度アクセスを確保すると、脅威は急速にエスカレートしうる。Mandiantの調査では、初期侵入から別の犯罪グループへの引き渡しまでの中央値は、2022年の8時間以上から、2025年にはわずか22秒にまで短縮された。

この脅威はすでに顕在化している。Unit 42は10月19日の更新で、k0tキャンペーンで悪用されたのと同じPalo Altoの脆弱性CVE-2026-0257について、ランサムウェア運営グループのQilinとIncによる悪用の試みを報告した。同社はSettraに関連する別の報告にも言及している。ただし、同社の先行調査では、攻撃者が影響を受けたネットワークのより深部へ移動した証拠は確認されなかった。

金融・暗号資産インフラにとっての意味

IBMの調査では、報告されたAI活用攻撃の62%が重要インフラを標的とし、金融サービス業界の侵害による平均損失は630万ドルに達した。IMFも10月、金融ネットワークの相互接続が進むにつれ、サイバー脅威がシステミックリスクになりうると警告した。

暗号資産企業も、アクセスの侵害による同様のリスクに直面している。Cryptopolitanの報道によると、2026年9月、Fetch.aiとNuNetに関連する攻撃で約200万ドルの損失が発生した。これらのインシデントはVPNアクセスではなく署名用認証情報の侵害によるものであり、k0tとの確立された関連はない。両セクターで報告されたインシデントには共通要素がある。それは「アクセス」であり、VPNゲートウェイであれ署名用認証情報であれ、アクセスこそが技術的侵入を金銭的損失へと変えるのだ。