Beveiligingsonderzoekers van Group-IB en NyxLab hebben meer dan 70.000 netwerkreferenties blootgelegd die verbonden zijn aan een campagne van de cyberdreigingsgroep k0t. Volgens Group-IB ging de operatie verder dan het stelen van referenties: de aanvallend creëerden ook backdoors in bedrijfsnetwerken, wat een mogelijk toegangskanaal opent dat ransomwaregroepen zouden kunnen misbruiken om bedrijfssystemen binnen te dringen.

Referenties waren slechts het toegangspunt

De onderzoekers documenteerden verschillende indringingstechnieken die de aanvallend gebruikten, waaronder misbruik van wachtwoorden op Fortinets FortiGate-apparaten, het exploiteren van CVE-2025-64446, een kwetsbaarheid in het FortiWeb van het bedrijf, en het gebruik van CVE-2026-0257 tegen kwetsbare Palo Alto GlobalProtect-gateways. Omdat deze apparaten fungeren als schild voor bedrijfsnetwerken en er op afstand toegang toe verlenen, behoren ze tot de meest gewilde doelen voor wie bedrijfssystemen wil binnendringen.

De gestolen gegevens omvatten LDAP (Lightweight Directory Access Protocol)-directorydumps, die de gebruikersaccounts, groepen en bronnen in een bedrijfsnetwerk in kaart brengen. Na het verkrijgen van een voet aan de grond handhaafden de aanvallend de toegang via OpenConnect VPN-verbindingen, beheerapps op afstand en het AdaptixC2 command-and-control-framework. Sommige slachtoffers werden ook geconfronteerd met gegevensdiefstal. Veel van de FortiGate-compromitteringen vonden plaats tussen februari en juni 2026.

Vervolgens verschenen een aantal slachtoffers op de lekpagina's van de ransomwaregroepen Qilin en The Gentlemen. Het patroon suggereert dat k0t mogelijk profiteert van toegang tot gecompromitteerde netwerken, al hebben onderzoekers dat verband nog niet bevestigd. Het verkopen van netwerktoegang aan ransomwarebendes is een gevestigd crimineel verdienmodel dat bekendstaat als initial access brokering.

De campagne vertoonde ook aanzienlijke reikwijdte in Azië-Pacific, de herkomst van 37,6% van alle waargenomen unieke domeinen. De onderzoekers benadrukten dat dit simpelweg het aantal actieve apparaten in de regio kan weerspiegelen, en niet noodzakelijk een bewuste focus op Aziatische doelen.

FortiBleed blijft een aparte, actieve dreiging

Een advies van 6 oktober 2026 van de FBI en de U.S. Secret Service waarschuwde dat FortiBleed nog steeds een dreiging vormt voor FortiGate-firewalls en SSL VPN-gateways. In die campagne hergebruikten aanvallend eerder verkregen referenties, zetten ze GPU-systemen in om wachtwoordhashes te kraken en creëerden ze nieuwe beheerdersaccounts — soms slaagden ze er zelfs in om slachtoffers buitensloten te zetten van hun eigen apparaten.

FortiBleed heeft zich wereldwijd verspreid: SOCRadar verifieerde meer dan 86.644 gecompromitteerde apparaten in 194 landen. Fortinet verklaarde dat de aanvallend gestolen inlogreferenties hergebruikten en probeerden wachtwoorden te raden, en dat de campagne geen betrekking had op een nieuw bekendgemaakte Fortinet-kwetsbaarheid.

Group-IB vond weinig overlap tussen FortiBleed en de gestolen gegevens van k0t, maar sluit een verband tussen de twee operaties niet uit. Tot nu toe wijst niets erop dat dezelfde aanvallend achter beide incidenten zitten. De cijfers meten ook verschillende dingen — de 70.000 referenties van k0t tegenover de 86.644 apparaten van FortiBleed — en het combineren ervan zou de volledige omvang vertekenen.

Van initiële toegang naar ransomware in 22 seconden

Het Data Breach Investigations Report 2026 van Verizon constateerde dat het exploiteren van kwetsbaarheden goed was voor 31% van de datalekken, waarmee gestolen referenties als belangrijkste toegangsmethode werd overtroffen. Toch werd slechts 26% van de kritieke, actief geëxploiteerde kwetsbaarheden volledig hersteld, met een mediane doorlooptijd van 43 dagen.

Die vertraging is bijzonder zorgwekkend, omdat aanvallend kwetsbaarheden kunnen misbruiken voordat patches beschikbaar komen. Mandiant's M-Trends 2026 schatte een gemiddelde exploitatietijd van min zeven dagen, wat aangeeft dat aanvallen vaak beginnen voordat fixes worden uitgebracht. VPN-gateways en routers zijn bijzonder moeilijk te monitoren omdat ze vaak ontberen wat standaard endpoint-beveiligingstools betreft.

Zodra aanvallend toegang krijgen, kan de dreiging snel escaleren. Mandiant constateerde dat de mediane tijd tussen een eerste inbreuk en de overdracht aan een andere criminele groep daalde van meer dan acht uur in 2022 naar slechts 22 seconden in 2025.

Het gevaar is al zichtbaar. In een update van 19 oktober meldde Unit 42 pogingen tot exploitatie van CVE-2026-0257 — dezelfde Palo Alto-kwetsbaarheid die in de k0t-campagne werd misbruikt — door de ransomwareoperatoren Qilin en Inc. Ook verwees het naar afzonderlijke meldingen rond Settra. Een eerdere pesquis vond echter geen aanwijzingen dat aanvallend dieper waren doorgedrongen in de getroffen netwerken.

Wat dit betekent voor financiële en crypto-infrastructuur

IBM constateerde dat 62% van de gerapporteerde AI-gedreven aanvallen kritiekestructuur tot doel had, terwijl datalekken in de financiële dienstverlening gemiddeld $6,3 miljoen kostten. Het IMF waarschuwde in oktober eveneens dat cyberdreigingen systemisch kunnen worden naarmate financiële netwerken meer verweven raken.

Cryptobedrijven lopen vergelijkbare risico's door gecompromitteerde toegang. Cryptopolitan meldde in september 2026 verliezen van ongeveer $2 miljoen bij Fetch.ai en NuNet. Die incidenten betroffen gecompromitteerde signing-referenties in plaats van VPN-toegang, en er bestaat geen bevestigd verband met k0t. In beide sectoren delen de gerapporteerde incidenten één gemeenschappelijk element: toegang — of het nu via een VPN-gateway of een signing-referentie is — is wat een technische inbreuk in financieel verlies verandert.