- Group-IBとNyxLabは、k0tキャンペーンに関連する7万件以上の露出済み資格情報を特定しました。
- 攻撃者は脆弱なエッジデバイスを使用して永続的なアクセスを確保し、データの窃取や企業ネットワークへの侵入を行いました。
- 一部の被害者はその後、ランサムウェアの漏洩サイトに表示されましたが、k0tとの直接的な関係は未確認です。
Group-IBとNyxLab サイバー脅威グループk0tによるキャンペーンに関連する7万件以上のネットワーク資格情報を発見しました。しかし、ハッカーたちは単にアカウント資格情報を盗んだだけでなく、企業ネットワークへのバックドアを作成しました。これにより、ランサムウェアグループは企業のシステムに侵入するための新たな機会を得ています。
資格情報は単なる入り口に過ぎなかった
研究者らは、攻撃者が使用したいくつかの手法を発見しました。例えば、FortiGateデバイスでのパスワードの悪用、FortiWebに影響を与えるCVE-2025-64446脆弱性の悪用、および脆弱なPalo Alto GlobalProtectゲートウェイに対してCVE-2026-0257が使用されたことです。これらのデバイスは企業ネットワークの盾として機能し、リモートからアクセスを許可するため、企業のシステムに侵入したい人々にとって魅力的な標的となっています。
盗まれたデータにはLDAPディレクトリのダンプが含まれていました。システムへの侵入後、攻撃者はOpenConnect VPN接続、リモート管理アプリケーション、AdaptixC2を使用してアクセスを維持しました。一部の被害者ではデータ窃盗も行われました。多くのFortiGate侵害事例は2026年2月から6月の間に発生しました。
その後、QilinやThe Gentlemenという名前のランサムウェアグループに関連するリークページに複数の被害者が登場しました。これは、k0tが侵害されたネットワークへのアクセスから利益を得ている可能性を示唆していますが、研究者はこの関連性をまだ検証していません。
さらに、このキャンペーンはアジア太平洋地域でも成功を収めており、観測されたユニークドメインの37.6%が同地域に由来しています。ただし、研究者らはこれが必ずしもアジアを対象とした特別な焦点を示すものではなく、単にアジアでアクティブだったデバイスの数を示している可能性があると強調しています。
FortiBleedは別個の、現在も活動中の問題です
2026年10月6日、FBIとシークレットサービスが発表した警報では、FortiBleedが依然としてFortiGateファイアウォールおよびSSL VPNゲートウェイに対する脅威となっていることが警告されました。攻撃者は以前に入手した認証情報を活用し、GPUベースのシステムを使用してパスワードハッシュを解読し、新しい管理者アカウントを作成しました。場合によっては、被害者を自らのデバイスから締め出すことにも成功しています。
FortiBleedは世界中に拡大しています。SOCRadarは194か国で86,644台以上の侵害されたデバイスを検証しました。Fortinetによると、攻撃者は盗んだログイン認証情報を再利用し、パスワードの推測を試みていました。このキャンペーンには、新たに開示されたFortinetの脆弱性は関与していませんでした。
Group-IBは、FortiBleedとk0tが窃取したデータの間にはほとんど重複がないことを発見しましたが、両者の運用に関連性がある可能性を完全に否定していません。これまでに、両方の事案に同じ攻撃者が関与していたという証拠はありません。また、これらの数値は異なるものを表しています：k0tの70,000件の認証情報対FortiBleedの86,644台のデバイスです。これらの数値を単純に組み合わせると、事件の全規模を歪めてしまいます。
初期アクセスからランサムウェアまで22秒以内
Verizonの2026年データ侵害調査報告書によると、脆弱性の悪用は侵害事案の31%を占め、盗まれた認証情報を超えて主要な侵入経路となりました。しかし、既知で悪用される可能性のある重要脆弱性のうち完全に修正されたものはわずか26%にとどまり、修正までの中央値は43日に達しています。
この遅延は特に懸念すべき点です。攻撃者はパッチが利用可能になる前に脆弱性を悪用できるからです。Mandiantの『M-Trends 2026』では、悪用までの平均時間がマイナス7日と推定されており、修正がリリースされる前に攻撃が始まることが多いことを示しています。VPNゲートウェイやルーターなどのネットワークデバイスは、標準的なエンドポイントセキュリティツールが欠如していることが多いため、監視が特に困難です。
攻撃者がアクセスを取得すると、脅威は急速にエスカレートします。Mandiantの研究によると、2022年には8時間以上かかっていた初期侵害から別の犯罪グループへの引き継ぎまでの中央値時間が、2025年にはわずか22秒に短縮されました。
脅威はすでに顕在化しています。10月19日のアップデートで、Unit 42はQilinおよびIncランサムウェアの運用者によるCVE-2026-0257の悪用試行を報告しました。また、Settraに関連する別の報告にも言及しています。ただし、同社の以前の調査では、攻撃者が影響を受けたネットワーク内にさらに深く侵入したという証拠は見つかりませんでした。
金融および暗号通貨インフラへの影響
IBMは、報告されたAI主導の攻撃の62％が重要インフラを標的としたことを見つけました。金融サービスの漏洩の平均損失額は630万ドルでした。IMFも10月に、サイバー脅威が金融ネットワークの相互接続が増大するにつれてシステム的なものになる可能性があると警告しました。暗号企業は、アクセスが危険にさらされることで同様のリスクに直面しています。Cryptopolitanは2026年9月にFetch.aiとNuNetに関する約200万ドルの損失を報告しました。これらの事件ではVPNアクセスではなく、署名認証情報が危険にさらされていました。k0tとの確立された関連はありません。
最も賢明な暗号通貨の専門家たちはすでに私たちのニュースレターを読んでいます。あなたも参加しませんか？ 彼らに加わりましょう。
よくある質問
k0tとは誰か、そして彼らは何をしたのか？
k0tは、Group-IBとNyxLabによって2026年10月21日に暴露された脅威アクターであり、露出していたFortinet FortiGate、FortiWeb、Palo Alto GlobalProtectデバイスに対するキャンペーンを実行し、7万件以上の資格情報とディレクトリデータを収集した後、永続的なVPNおよびリモート管理アクセスを確立しました。
k0tキャンペーンはFortiBleedと同じですか？
いいえ。Group-IBは、7万件の資格情報データセットがFortiBleedクラスターとほとんど重複しておらず、共有されているオペレーターも未確認であるため、両者を結合すべきではないと述べています。
FortiBleedによって侵害されたデバイスの数は？
FBIおよび米国秘密警察が2026年10月6日に共同で発表した勧告によると、SOCRadarは194か国で8万6,644台の侵害されたデバイスを検証しました。
免責事項。 本情報は取引助言ではありません。Cryptopolitan.com は、本ページに記載された情報に基づいて行われた投資に対して一切の責任を負いません。投資判断を下す前に、独自の調査を行うか、資格を有する専門家にご相談することを強く推奨します。
イビアム・ワイヤス
イビーム・ワイヤスは2019年から暗号資産ニュースを担当しています。ナイジェリア国立公開大学でコンピュータサイエンスを専攻し、Coinfomania、Crypto News Australia、AltcoinBuzzなど、さまざまな暗号資産ニュースプラットフォームで執筆活動を行ってきました。コンピュータサイエンスのバックグラウンドを活かし、現在は暗号資産、ロボティクス、長寿に関するニュースに注力しています。
