Исследователи в области безопасности Group-IB и NyxLab обнаружили более 70 000 сетевых учетных данных, связанных с кампанией кибергруппы k0t. Согласно отчету Group-IB, операция не ограничилась кражей учетных данных: атакующие также создали бэкдоры в корпоративных сетях, открыв возможный канал доступа, который группы вымогательного ПО могли бы использовать для проникновения в системы компаний.

Учетные данные были лишь точкой входа

Исследователи задокументировали несколько методов вторжения, применявшихся атакующими, включая злоупотребление паролями на устройствах Fortinet FortiGate, эксплуатацию CVE-2025-64446 — уязвимости в FortiWeb этой компании — и использование CVE-2026-0257 против уязвимых шлюзов Palo Alto GlobalProtect. Поскольку эти устройства служат щитами для корпоративных сетей и предоставляют удаленный доступ к ним, они входят в число наиболее привлекательных целей для тех, кто стремится проникнуть в системы компаний.

Похищенные данные включали дампы каталогов LDAP (Lightweight Directory Access Protocol), в которых содержится перечень учетных записей пользователей, групп и ресурсов корпоративной сети. Получив foothold, атакующие сохраняли доступ через VPN-соединения OpenConnect, приложения удаленного управления и фреймворк управления и контроля AdaptixC2. Некоторые жертвы также подверглись краже данных. Многие случаи компрометации FortiGate произошли с февраля по июнь 2026 года.

Впоследствии ряд жертв появился на страницах утечек групп вымогательного ПО Qilin и The Gentlemen. Эта закономерность позволяет предположить, что k0t может зарабатывать на доступе к скомпрометированным сетям, хотя исследователи пока не подтвердили эту связь. Продажа сетевого доступа группам вымогателей — устоявшаяся криминальная бизнес-модель, известная как «брокерство первичного доступа» (initial access brokering).

Кампания также показала значительный охват в Азиатско-Тихоокеанском регионе, откуда происходило 37,6% всех наблюдавшихся уникальных доменов. Исследователи подчеркнули, что это может просто отражать количество активных в регионе устройств, а не осознанный акцент на азиатских целях.

FortiBleed остается отдельной активной угрозой

В рекомендации, выпущенной 6 октября 2026 года ФБР и Секретной службой США, предупреждается, что FortiBleed по-прежнему представляет угрозу для межсетевых экранов FortiGate и шлюзов SSL VPN. В той кампании атакующие повторно использовали ранее полученные учетные данные, применяли системы на базе GPU для расшифровки хэшей паролей и создавали новые учетные записи администраторов — иногда им удавалось заблокировать жертвам доступ к их собственным устройствам.

FortiBleed распространился по всему миру: SOCRadar подтвердила более 86 644 скомпрометированных устройств в 194 странах. Fortinet заявила, что атакующие повторно использовали украденные учетные данные для входа и пытались угадывать пароли, и что кампания не была связана с недавно раскрытой уязвимостью Fortinet.

Group-IB обнаружила мало пересечений между данными FortiBleed и k0t, но не исключает связи между двумя операциями. Пока нет доказательств того, что за обоими инцидентами стояли одни и те же атакующие. Показатели также измеряют разные вещи — 70 000 учетных данных у k0t против 86 644 устройств у FortiBleed, — и их объединение исказило бы реальный масштаб событий.

От первичного доступа до вымогателей за 22 секунды

Согласно отчету Verizon 2026 Data Breach Investigations Report, на эксплуатацию уязвимостей пришлось 31% нарушений, что превзошло кражу учетных данных как основной метод входа. При этом лишь 26% критических, уже эксплуатируемых уязвимостей были полностью устранены, а медианное время их исправления достигло 43 дней.

Такая задержка особенно тревожна, поскольку атакующие могут эксплуатировать уязвимости до того, как станут доступны патчи. По оценке M-Trends 2026 от Mandiant, среднее время до эксплуатации составило минус семь дней, что указывает на то, что атаки часто начинались до выпуска исправлений. Сетевые устройства, такие как VPN-шлюзы и маршрутизаторы, особенно сложно контролировать, поскольку на них зачастую отсутствуют стандартные средства защиты конечных точек.

После получения доступа угроза может быстро эскалировать. Mandiant установила, что медианное время между первичным взломом и передачей доступа другой преступной группе сократилось с более чем восьми часов в 2022 году до всего 22 секунд в 2025 году.

Угроза уже очевидна. В обновлении от 19 октября Unit 42 сообщила о попытках эксплуатации CVE-2026-0257 — той же уязвимости Palo Alto, что использовалась в кампании k0t, — операторами вымогательного ПО Qilin и Inc. В отчете также упоминались отдельные сообщения с участием Settra. Однако более раннее расследование не нашло доказательств того, что атакующие продвинулись вглубь затронутых сетей.

Что это означает для финансовой и криптоинфраструктуры

IBM установила, что 62% зафиксированных атак с использованием ИИ были направлены на критическую инфраструктуру, а средний ущерб от нарушений в финансовом секторе составил 6,3 млн долларов. МВФ также предупредил в октябре, что киберугрозы могут стать системными по мере роста взаимосвязанности финансовых сетей.

Криптокомпании сталкиваются с аналогичными рисками, связанными со скомпрометированным доступом. По данным Cryptopolitan, в сентябре 2026 года убытки Fetch.ai и NuNet составили около 2 млн долларов. В тех инцидентах речь шла о скомпрометированных учетных данных для подписания, а не о доступе через VPN, и установленной связи с k0t нет. В обоих секторах зафиксированные инциденты объединяет общий элемент: доступ — будь то через VPN-шлюз или учетные данные для подписания — превращает техническое вторжение в финансовые потери.