Een grootschalige cyberaanvalscampagne die wordt toegeschreven aan de dreigingsactor k0t heeft meer dan 70.000 inloggegevens blootgelegd, waardoor de zorgen over de beveiliging van bedrijfsnetwerken en de kans op vervolgaanvallen met ransomware zijn toegenomen. De operatie richtte zich op kwetsbare firewalls en systemen voor externe toegang die door bedrijven wereldwijd worden gebruikt.

Cybersecurityonderzoekers van Group-IB en NyxLab maakten de bevindingen op 21 oktober 2026 bekend. Hun onderzoek wijst erop dat de aanvallers persistente toegang tot gecompromitteerde netwerken hebben opgebouwd, wat mogelijk kansen biedt voor ransomware-operatoren.

Hoe aanvallers bedrijfsnetwerken binnendrongen

De k0t-campagne was gericht op internetverbonden beveiligingsproducten, waaronder Fortinet FortiGate-firewalls, FortiWeb-systemen en Palo Alto Networks GlobalProtect-gateways. De operatoren combineerden wachtwoordaanvallen met het misbruiken van bekende beveiligingskwetsbaarheden, waaronder CVE-2025-64446, die FortiWeb treft, en CVE-2026-0257, die bepaalde GlobalProtect-configuraties treft.

Periferie-apparaten van dit soort zijn aantrekkelijke doelen omdat ze verbonden zijn met het openbare internet, en één compromittering kan opgeslagen authenticatiegegevens en directorygegevens binnen een hele organisatie blootleggen.

Eenmaal binnen extrateerden de operatoren opgeslagen inloggegevens en directory-informatie. Om hun voet aan de grond te houden, maakten ze gebruik van OpenConnect VPN-verbindingen, software voor extern beheer en de tool AdaptixC2. Onderzoekers identificeerden meer dan 70.000 blootgestelde inloggegevens en gerelateerde gegevens, al waarschuwden zij dat dit cijfer niet bevestigt dat elke inloggegeven nog geldig was of dat elke tot een succesvolle inbraak leidde.

Mogelijke verbanden met ransomware-operaties

Onderzoekers ontdekten dat enkele getroffen organisaties later verschenen op ransomware-lekwebsites die geassocieerd worden met de groepen Qilin en The Gentlemen. Het patroon suggereert dat k0t mogelijk optreedt als een initial access broker die ongeautoriseerde netwerktoegang verkrijgt namens andere criminele groepen. Onderzoekers hebben echter geen directe relatie tussen de campagne en die ransomware-operatoren bevestigd. Dat onderscheid is belangrijk, omdat access brokers en deepen die versleuteling en afpersing uitvoeren doorgaans gescheiden operaties zijn; daarom behandelen onderzoekers de verschijningen op lekwebsites als een patroon dat nog geverifieerd moet worden in plaats van als een bevestigd verband.

Het onderzoek bracht ook gelijkenissen aan het licht met FortiBleed, een eerdere campagne waarbij gecompromitteerde Fortinet-inloggegevens een rol speelden. Ondanks deze parallellen vonden onderzoekers minimale overlap tussen de twee datasets met inloggegevens en konden zij niet vaststellen of dezelfde operatoren achter beide campagnes zaten. De vergelijking weerspiegelt niettemin een terugkerende zorg voor verdedigers: herhaalde golven van aanvallen op veelgebruikte periferie-apparaten.

Financiële instellingen en cryptobedrijven lopen verhoogd risico

De blootgestelde dataset toonde aan dat Azië-Pacific goed was voor 37,6% van de unieke domeinen, al waarschuwden onderzoekers dat deze verdeling niet noodzakelijk wijst op opzettelijke regionale doelwitten.

Voor financiële instellingen en cryptobedrijven brengt gecompromitteerde netwerktoegang aanzienlijk operationeel risico met zich mee. Aanvallers die over geprivilegieerde inloggegevens beschikken, kunnen mogelijk toegang krijgen tot gevoelige systemen, diensten verstoren of vertrouwelijke informatie stelen. Onderzoekers hebben echter geen direct verband vastgesteld tussen k0t en enige cryptodiefstal.

Beveiligingsspecialisten raden aan om blootgestelde apparaten te patchen, administratieve toegang te beperken, gecompromitteerde inloggegevens te vervangen en verdachte VPN-activiteit te controleren. De openbaarmaking van specifieke CVE-identificatoren geeft netwerkteams een concreet startpunt voor herstel. De bevindingen onderstrepen hoe zwakke plekken in veelgebruikte netwerkinfrastructuren de deur kunnen openen voor bredere cybercriminaliteit. Naarmate het onderzoek vordert, blijft het vermoede verband tussen diefstal van inloggegevens en ransomware-operaties een belangrijke onopgeloste zorg, en de details om in de gaten te houden zijn of meer getroffen organisaties op lekwebsites verschijnen en of onderzoekers k0t direct kunnen koppelen aan specifieke ransomware-operatoren.