一起被歸因於威脅行為者 k0t 的大規模網路攻擊行動，已洩露超過 70,000 組憑證，加劇了對企業網路安全及後續勒索軟體攻擊可能性的疑慮。這次行動鎖定全球企業使用的脆弱防火牆與遠端存取系統。

Group-IB 與 NyxLab 的網路安全研究人員於 2026 年 10 月 21 日公布調查結果。他們的調查顯示，攻擊者對遭入侵的網路建立了持續性存取，可能為勒索軟體集團創造可乘之機。

攻擊者如何入侵企業網路

k0t 行動鎖定對外開放的安全產品，包括 Fortinet FortiGate 防火牆、FortiWeb 系統，以及 Palo Alto Networks GlobalProtect 閘道。攻擊者將密碼攻擊與已知安全漏洞的利用相結合，其中包括影響 FortiWeb 的 CVE-2025-64446，以及影響特定 GlobalProtect 配置的 CVE-2026-0257。

這類邊界設備因直接暴露於公共網路而成為具吸引力的攻擊目標，一旦單一設備遭入侵，即可能使整個組織的儲存驗證資料與目錄紀錄外洩。

入侵成功後，攻擊者竊取了儲存的憑證與目錄資訊。為維持立足點，他們利用 OpenConnect VPN 連線、遠端管理軟體以及 AdaptixC2 工具。研究人員識別出超過 70,000 組外洩憑證及相關紀錄，但他們提醒，此數字並不代表每組憑證仍然有效，也不代表每組憑證都導致成功的入侵。

與勒索軟體活動的可能關聯

調查人員發現，部分受害組織其後出現在與 Qilin 及 The Gentlemen 兩個集團相關的勒索軟體洩露網站上。這種模式顯示 k0t 可能扮演初始存取仲介的角色，替其他犯罪集團取得未經授權的網路存取權限。不過，研究人員尚未證實該行動與這些勒索軟體集團之間存在任何直接關係。這項區別至關重要，因為初始存取仲介與執行加密及勒索的團伙通常是分開運作的，這也是研究人員將洩露網站上的出現視為待驗證的模式，而非已確認關聯的原因。

調查還發現此行動與先前涉及 Fortinet 憑證外洩的 FortiBleed 行動有相似之處。儘管有這些相似性，研究人員發現兩者的憑證資料集重疊極少，無法確定是否由同一批操作者發動。不過，這項比較仍反映出防禦者面臨的一項持續性隱：針對廣泛部署的邊界設備的反覆攻擊浪潮。

金融與加密貨幣企業面臨較高風險

外洩資料集顯示，亞太地區佔唯一網域的 37.6%，但研究人員提醒，此分布不一定代表刻意針對特定區域。

對金融機構與加密貨幣企業而言，網路存取權限遭入侵會帶來重大營運風險。持有特權憑證的攻擊者可能接觸敏感系統、干擾服務運作，或竊取機密資訊。不過，調查人員並未確立 k0t 與任何加密貨幣竊盜事件之間的直接關聯。

安全專家建議修補外洩設備、限制管理員存取權限、更換遭入侵的憑證，並審查可疑的 VPN 活動。具體 CVE 編號的公布為網路團隊提供了明確的修補起點。這些發現突顯了廣泛部署的網路基礎設施中的弱點如何為更廣泛的網路犯罪開啟大門。隨著調查持續進行，憑證竊取與勒索軟體活動之間的疑似關聯仍是重要的未解疑慮，值得關注的後續發展包括是否會有更多受害組織出現在洩露網站上，以及研究人員能否將 k0t 直接與特定勒索軟體集團掛鉤。