Badacze bezpieczeństwa z Group-IB i NyxLab ujawnili ponad 70 000 danych uwierzytelniających sieciowych powiązanych z kampanią grupy zagrożeń cybernetycznych k0t. Według Group-IB operacja wykraczała poza kradzież poświadczeń: atakujący utworzyli także backdoory w sieciach korporacyjnych, otwierając możliwy kanał dostępu, z którego grupy ransomware mogłyby skorzystać, by infiltrować systemy firm.

Poświadczenia były tylko punktem wejścia

Badacze udokumentowali kilka technik włamań stosowanych przez atakujących, w tym nadużywanie haseł na urządzeniach Fortinet FortiGate, wykorzystanie CVE-2025-64446 — luki dotykającej FortiWeb tego producenta — oraz użycie CVE-2026-0257 przeciwko podatnym bramom Palo Alto GlobalProtect. Ponieważ te urządzenia pełnią rolę tarcz dla sieci korporacyjnych i zapewniają im zdalny dostęp, należą one do najbardziej pożądanych celów dla tych, którzy chcą włamać się do systemów firmowych.

Skradzione dane obejmowały zrzuty katalogów LDAP (Lightweight Directory Access Protocol), które katalogują konta użytkowników, grupy i zasoby w sieci korporacyjnej. Po uzyskaniu przyczółka atakujący utrzymywali dostęp poprzez połączenia OpenConnect VPN, aplikacje zdalnego zarządzania oraz framework command-and-control AdaptixC2. Część ofiar padła również ofiarą kradzieży danych. Wiele kompromitacji FortiGate miało miejsce między lutym a czerwcem 2026 roku.

Następnie część ofiar pojawiła się na stronach wycieków grup ransomware Qilin i The Gentlemen. Ten schemat sugeruje, że k0t może czerpać zyski z dostępu do skompromitowanych sieci, choć badacze nie potwierdzili jeszcze tego powiązania. Sprzedaż dostępu do sieci grupom ransomware to ugruntowany model biznesowy znany jako initial access brokering.

Kampania wykazała także znaczny zasięg w regionie Azji i Pacyfiku, skąd pochodziło 37,6% wszystkich zaobserwowanych unikalnych domen. Badacze podkreślili, że może to jedynie odzwierciedlać liczbę aktywnych urządzeń w regionie, a nie celowe ukierunkowanie na cele azjatyckie.

FortiBleed pozostaje odrębnym aktywnym zagrożeniem

Zalecenie wydane 6 października 2026 roku przez FBI i U.S. Secret Service ostrzegało, że FortiBleed nadal stanowi zagrożenie dla firewalli FortiGate i bram SSL VPN. W tamtej kampanii atakujący ponownie wykorzystali wcześniej pozyskane poświadczenia, użyli systemów opartych na GPU do łamania skrótów haseł i tworzyli nowe konta administratora — czasem udawało im się zablokować ofiarom dostęp do ich własnych urządzeń.

FortiBleed rozprzestrzenił się na cały świat: SOCRadar zweryfikował ponad 86 644 skompromitowanych urządzeń w 194 krajach. Fortinet oświadczył, że atakujący ponownie wykorzystali skradzione dane logowania i próbowali odgadywać hasła, a kampania nie wiązała się z nowo ujawnioną luką Fortinet.

Group-IB znalazła niewielki pokrywanie się danych skradzionych w ramach FortiBleed i k0t, ale nie wykluczyła powiązania między obiema operacjami. Jak dotąd brak dowodów wskazujących, że za oboma incydentami stali ci sami atakujący. Liczby te odnoszą się też do różnych rzeczy — 70 000 poświadczeń w przypadku k0t wobec 86 644 urządzeń w przypadku FortiBleed — a ich łączenie zniekształciłoby pełną skalę zdarzeń.

Od pierwszego dostępu do ransomware w 22 sekundy

Raport Verizon 2026 Data Breach Investigations Report wykazał, że wykorzystanie luk stanowiło 31% naruszeń, wyprzedzając kradzież poświadczeń jako główną metodę wejścia. Tymczasem tylko 26% krytycznych, aktywnie wykorzystywanych luk zostało w pełni załatanych, a mediana czasu ich naprawy sięgnęła 43 dni.

To opóźnienie jest szczególnie niepokojące, ponieważ atakujący mogą wykorzystać luki, zanim staną się dostępne poprawki. Mandiant M-Trends 2026 oszacował średni czas do eksploatacji na minus siedem dni, co wskazuje, że ataki często rozpoczynały się przed opublikowaniem poprawek. Bramy VPN i routery są szczególnie trudne do monitorowania, ponieważ często nie posiadają standardowych narzędzi bezpieczeństwa endpoint.

Gdy atakujący uzyskają dostęp, zagrożenie może szybko eskalować. Mandiant ustalił, że mediana czasu między początkowym włamaniem a przekazaniem dostępu innej grupie przestępczej spadła z ponad ośmiu godzin w 2022 roku do zaledwie 22 sekund w 2025 roku.

Zagrożenie jest już widoczne. W aktualizacji z 19 października Unit 42 poinformował o próbach wykorzystania CVE-2026-0257 — tej samej luki Palo Alto wykorzystanej w kampanii k0t — przez operatorów ransomware Qilin i Inc. Odnotowano także osobne doniesienia dotyczące Settra. Jednak wcześniejsze dochodzenie nie znalazło dowodów na to, że atakujący przennęli głębiej do dotkniętych sieci.

Co to oznacza dla infrastruktury finansowej i krypto

IBM ustalił, że 62% zgłoszonych ataków z wykorzystaniem AI celowało w infrastrukturę krytyczną, a średnie straty z naruszeń w usługach finansowych wyniosły 6,3 mln USD. MFW ostrzegł w październiku, że zagrożenia cybernetyczne mogą stać się systemowe w miarę, jak sieci finansowe stają się coraz bardziej powiązane.

Firmy kryptowalutowe stoją przed podobnym ryzykiem związanym ze skompromitowanymi dostępami. Cryptopolitan poinformował o stratach rzędu około 2 mln USD związanych z Fetch.ai i NuNet we wrześniu 2026 roku. Te incydenty dotyczyły skompromitowanych poświadczeń podpisywania, a nie dostępu VPN, i nie ustalono ich powiązania z k0t. W obu sektorach zgłoszone incydenty mają wspólny element: dostęp — czy to przez bramę VPN, czy poświadczenie podpisywania — zamienia techniczne włamanie w stratę finansową.