資安研究機構 Group-IB 與 NyxLab 發現超過 70,000 組與網路威脅集團 k0t 攻擊行動相關的網路憑證。根據 Group-IB 的說法，這場行動不只是竊取憑證：攻擊者還在企業網路中建立了後門，開啟了一條勒索軟體集團可能用來滲透企業系統的入侵管道。

憑證只是入侵的起點

研究人員記錄了攻擊者使用的多種入侵手法，包括濫用 Fortinet FortiGate 裝置上的密碼、利用影響該公司 FortiWeb 的 CVE-2025-64446 漏洞，以及針對存在弱點的 Palo Alto GlobalProtect 閘道利用 CVE-2026-0257 漏洞。由於這些設備是企業網路的防護屏障並提供遠端存取管道，因此成為企圖入侵企業系統者最理想的目標。

遭竊資料包括 LDAP（輕型目錄存取協定）目錄傾印，其中記載了企業網路內部的使用者帳戶、群組與資源。在取得立足點後，攻擊者透過 OpenConnect VPN 連線、遠端管理應用程式以及 AdaptixC2 指揮控制框架維持存取權限。部分受害者還遭到資料竊取。許多 FortiGate 遭入侵的事件發生在 2026 年 2 月至 6 月之間。

隨後，多名受害者出現在勒索軟體集團 Qilin 與 The Gentlemen 的洩露頁面上。這種模式顯示 k0t 可能正靠著出售遭入侵網路的存取權限獲利，但研究人員尚未證實這層關聯。將網路立足點出售給勒索軟體集團是一種既有的犯罪商業模式，即所謂的「初始存取中介」（initial access brokering）。

這場攻擊行動在亞太地區的影響範圍也相當可觀，所有觀察到的唯一網域中有 37.6% 來自該地區。研究人員強調，這可能僅反映該地區活躍裝置的數量，未必代表攻擊者刻意鎖定亞洲目標。

FortiBleed 仍是另一個持續存在的威脅

FBI 與美國特勤局於 2026 年 10 月 6 日發布的公告警告，FortiBleed 對 FortiGate 防火牆與 SSL VPN 閘道仍構成威脅。在該行動中，攻擊者重複使用先前取得的憑證，運用 GPU 系統破解密碼雜湊值，並建立新的管理員帳戶——有時甚至讓受害者無法登入自己的裝置。
FortiBleed 已蔓延至全球：SOCRadar 證實橫跨 194 個國家有超過 86,644 台裝置遭入侵。Fortinet 表示，攻擊者重複使用竊得的登入憑證並嘗試猜測密碼，且該行動並未涉及任何新揭露的 Fortinet 漏洞。

Group-IB 發現 FortiBleed 與 k0t 竊取資料之間的重疊極少，但未排除兩場行動之間的關聯。目前尚無證據顯示兩起事件出自同一批攻擊者。這兩組數字所衡量的事物也不同——k0t 的 70,000 組憑證相對於 FortiBleed 的 86,644 台裝置——將兩者合併會扭曲事件的整體規模。

從初始入侵到勒索軟體只需 22 秒

Verizon 2026 年資料外洩調查報告發現，漏洞利用佔資料外洩事件的 31%，超越憑證竊取成為最主要的入侵途徑。然而，僅有 26% 的關鍵性、已知遭利用漏洞被完全修補，修復時間中位數長達 43 天。

這種延遲尤其令人擔憂，因為攻擊者可以在修補程式發布之前就利用漏洞。Mandiant 的 M-Trends 2026 估計漏洞利用的平均時間為負七天，顯示攻擊往往在修復方案發布之前就已開始。VPN 閘道與路由器等設備特別難以監控，因為它們通常缺乏標準的端點安全工具。

一旦攻擊者取得存取權限，威脅可能迅速升級。Mandiant 發現，從初始入侵到將存取權限移交給另一個犯罪集團的時間中位數，已從 2022 年的八小時以上，縮短至 2025 年的僅僅 22 秒。

這種危險已經顯而易見。在 10 月 19 日的更新中，Unit 42 通報 Qilin 與 Inc 勒索軟體集團曾試圖利用 CVE-2026-0257——與 k0t 攻擊行動中利用的同一個 Palo Alto 漏洞。該報告也提到涉及 Settra 的另一份通報。不過，其先前的調查並未發現攻擊者已深入受影響網路的證據。

對金融與加密貨幣基礎設施的意涵

IBM 發現，通報的 AI 驅動攻擊中有 62% 以關鍵基礎設施為目標，而金融服務業資料外洩事件的平均損失為 630 萬美元。IMF 也在 10 月警告，隨著金融網路日益互聯，網路威脅可能演變成系統性風險。

加密貨幣公司同樣面臨存取權限遭入侵的風險。Cryptopolitan 報導，2026 年 9 月涉及 Fetch.ai 與 NuNet 的事件造成約 200 萬美元損失。這些事件涉及簽署憑證遭入侵，而非 VPN 存取權限，且與 k0t 之間沒有已證實的關聯在這兩個領域中，通報的事件都有一個共通點：存取權限——無論是透過 VPN 閘道還是簽署憑證——正是將技術入侵轉化為財務損失的關鍵。