Group-IB 与 NyxLab 的安全研究人员发现了超过 70,000 条与网络威胁团伙 k0t 行动相关的网络凭据。据 Group-IB 报告，该行动不仅限于窃取凭据：攻击者还在企业网络中创建了后门，打开了一条勒索软件集团可用来渗透企业系统的潜在访问通道。

凭据只是入口

研究人员记录了攻击者使用的多种入侵技术，包括滥用 Fortinet FortiGate 设备上的密码、利用影响该公司 FortiWeb 的漏洞 CVE-2025-64446，以及利用 CVE-2026-0257 攻击存在漏洞的 Palo Alto GlobalProtect 网关。由于这些设备是企业网络的防护屏障并提供远程访问，因此成为任何企图入侵企业系统的人的首选目标。

被盗数据包括 LDAP（轻量目录访问协议）目录转储，其中记录了企业网络内的用户账户、群组和资源。在获得立足点后，攻击者通过 OpenConnect VPN 连接、远程管理应用程序和 AdaptixC2 命令与控制框架维持访问。部分受害者还遭受了数据窃取。许多 FortiGate 入侵事件发生在 2026 年 2 月至 6 月之间。

随后，多名受害者出现在勒索软件集团 Qilin 和 The Gentlemen 的泄露页面上。这一模式表明 k0t 可能通过出售被攻陷网络的访问权限牟利，但研究人员尚未证实这一关联。将网络立足点出售给勒索软件团伙是一种成熟的犯罪商业模式，被称为初始访问中介（initial access brokering）。

该行动在亚太地区影响显著，该地区占所观测到全部唯一域名的 37.6%。研究人员强调，这可能只是反映了该地区活跃设备的数量，并不一定意味着对亚洲目标有特别关注。

FortiBleed 是另一个仍在活跃的独立威胁

FBI 与美国特勤局于 2026 年 10 月 6 日发布的公告警告称，FortiBleed 仍对 FortiGate 防火墙和 SSL VPN 网关构成威胁。在该行动中，攻击者重复使用此前获取的凭据，利用基于 GPU 的系统破解密码哈希，并创建新的管理员账户——有时甚至成功将受害者锁在自己的设备之外。

FortiBleed 已蔓延至全球：SOCRadar 证实了 194 个国家超过 86,644 台设备被攻陷。Fortinet 表示，攻击者重复使用窃取的登录凭据并尝试猜测密码，且该行动并未涉及新披露的 Fortinet 漏洞。

Group-IB 发现 FortiBleed 与 k0t 被盗数据之间的重合很少，但并未排除两项行动之间存在关联的可能。目前尚无证据表明两起事件出自同一批攻击者之手。这两组数字所代表的内容也不同——k0t 的 70,000 条凭据与 FortiBleed 的 86,644 台设备——将两者合并会扭曲事件的真实规模。

从初始入侵到勒索软件仅需 22 秒

Verizon 2026 年数据泄露调查报告发现，漏洞利用占数据泄露的 31%，超过窃取凭据成为最主要的入侵方式。然而，仅有 26% 的已被利用的关键漏洞得到完全修复，修复时间中位数长达 43 天。

这一延迟尤其令人担忧，因为攻击者可以在补丁发布之前就利用漏洞。Mandiant 的 M-Trends 2026 估计漏洞利用的平均时间为负七天，表明攻击往往在修复方案之前就已开始。VPN 网关和路由器等网络设备尤其难以监控，因为它们通常缺乏标准的端点安全工具。

攻击者一旦获得访问权限，威胁可能迅速升级。Mandiant 发现，从初始入侵到移交至另一犯罪集团的中位时间从 2022 年的八个多小时缩短至 2025 年的仅 22 秒。

威胁已显而易见。在 10 月 19 日的一份更新中，Unit 42 报告称 Qilin 和 Inc 勒索软件运营商试图利用 CVE-2026-0257——即 k0t 行动中所利用的同一 Palo Alto 漏洞。其还注意到涉及 Settra 的独立报告。不过，其早前的调查未发现攻击者已深入受影响网络的证据。

对金融与加密基础设施意味着什么

IBM 发现，62% 的已知 AI 驱动攻击针对关键基础设施，而金融服务业的数据泄露平均成本为 630 万美元。IMF 也在 10 月警告称，随着金融网络日益互联，网络威胁可能演变为系统性风险。

加密货币公司同样面临访问权限被攻陷的风险。Cryptopolitan 报道称，2026 年 9 月涉及 Fetch.ai 和 NuNet 的攻击造成了约 200 万美元损失。那些事件涉及签名凭据被攻陷而非 VPN 访问，且与 k0t 之间没有已证实的关联。在两个行业中，所报告的事件都有一个共同要素：访问权限——无论是通过 VPN 网关还是签名凭据——正是将技术入侵转化为财务损失的关键。