- Group-IB와 NyxLab은 k0t 캠페인과 연결된 70,000개 이상의 노출된 자격증명(credentials)을 식별했습니다.
- 공격자들은 취약한 에지 장치를 통해 영구적인 접근 권한을 확보하고, 데이터를 탈취하며, 기업 네트워크 내부로 침투했습니다.
- 일부 피해자는 이후 랜섬웨어 누설 사이트에 등장했으나, k0t와의 직접적인 인과 관계는 아직 확인되지 않았습니다.
Group-IB와 NyxLab 사이버 위협 그룹 k0t의 캠페인과 연결된 70,000개 이상의 네트워크 자격증명(credentials)을 발견했습니다. 그러나 해커들은 단순히 계정 자격증명(credentials)을 탈취하는 데 그치지 않았습니다. 그들은 기업 네트워크에 백도어를 설치했으며, 이는 랜섬웨어 그룹이 회사 시스템에 침투할 수 있는 새로운 기회를 제공합니다.
자격 증명은 단지 진입점에 불과했습니다
연구자들은 공격자들이 사용한 방법 중 일부, 예를 들어 FortiGate 장치에서의 비밀번호 남용, FortiWeb에 영향을 미치는 CVE-2025-64446 취약점의 악용, 그리고 취약한 Palo Alto GlobalProtect 게이트웨이에 대한 CVE-2026-0257 사용 등을 발견했습니다. 이러한 장치는 기업 네트워크를 보호하는 방패 역할을 하며 원격으로 접근할 수 있게 해주기 때문에, 회사 시스템에 침입하려는 사람들에게 매력적인 표적이 됩니다.
탈취된 데이터에는 LDAP 디렉토리 덤프가 포함되었습니다. 시스템에 침투한 후 공격자들은 OpenConnect VPN 연결, 원격 관리 애플리케이션 및 AdaptixC2를 사용하여 접근을 유지했습니다. 일부 피해자들은 데이터 유출의 대상이 되기도 했습니다. 많은 FortiGate 침해 사례는 2026년 2월부터 6월 사이에 발생했습니다.
이후 Qilin과 The Gentlemen이라는 이름의 랜섬웨어 그룹에 속하는 누설 페이지에서 여러 명의 피해자가 확인되었습니다. 이는 k0t가 침해된 네트워크에 대한 접근 권한을 통해 수익을 올리고 있을 가능성을 시사하지만, 연구자들은 아직 이 연결 관계를 검증하지 못했습니다.
또한 이 캠페인은 아시아·태평양 지역에서도 성공을 거두었습니다. 관측된 전체 고유 도메인의 37.6%가 해당 지역에서 기원했기 때문입니다. 그럼에도 연구진은 이것이 반드시 아시아 타겟에 대한 특별한 집중을 의미하는 것은 아니며, 단지 아시아에서 활동하던 장치의 수를 나타낼 뿐일 수 있다고 강조했습니다.
FortiBleed는 별개의 여전히 활성화된 문제입니다
2026년 10월 6일, FBI와 연방비밀경찰국이 발표한 경보에 따르면 FortiBleed는 여전히 FortiGate 방화벽과 SSL VPN 게이트웨이에 위협을 가하고 있습니다. 공격자들은 이전에 확보한 자격 증명을 활용하여 GPU 기반 시스템을 통해 비밀번호 해시를 디코딩하고 새로운 관리자 계정을 생성했습니다. 때로는 피해자들이 자신의 기기에 접근하지 못하도록 잠가두기도 했습니다.
FortiBleed는 전 세계로 확산되었습니다. SOCRadar는 194개국에서 86,644개 이상의 침해된 장치를 확인했습니다. Fortinet은 공격자가 탈취한 로그인 자격 증명을 재사용하고 비밀번호 추측 시도를 했다고 밝혔습니다. 이번 캠페인은 새로 공개된 Fortinet 취약점을 포함하지 않았습니다.
Group-IB는 FortiBleed와 k0t의 탈취 데이터 간에 큰 겹침이 없음을 발견했지만, 두 운영 간의 연관성을 완전히 배제하지는 않았습니다. 지금까지 동일한 공격자가 두 사건 모두를 저질렀다는 증거는 없습니다. 또한 이 수치는 서로 다른 대상을 나타냅니다: k0t의 70,000개 자격 증명과 FortiBleed의 86,644개 장치가 그것입니다. 이러한 수치를 단순 합산하면 사건의 전체 규모를 왜곡할 수 있습니다.
초기 접근부터 랜섬웨어까지 22초
Verizon의 2026 데이터 유출 조사 보고서에 따르면 취약점 악용이 전체 침해 사고의 31%를 차지하며, 도용된 자격증명을 제치고 주요 진입 경로로 부상했습니다. 그럼에도 불구하고 알려진 취약점 중 치명적인 것들의 26%만이 완전히 보완되었으며, 평균 수정 기간은 43일에 달했습니다.
이러한 지연은 공격자가 패치 제공 전에 이미 취약점을 악용할 수 있기 때문에 특히 우려됩니다. Mandiant의 M-Trends 2026 보고서는 취약점 악용까지의 평균 시간이 마이너스 7일이라고 추정했으며, 이는 종종 수정분이 출시되기 전에 공격이 시작되었음을 시사합니다. VPN 게이트웨이 및 라우터와 같은 네트워크 장치는 표준 엔드포인트 보안 도구를 갖추지 않은 경우가 많아 모니터링이 특히 어렵습니다.
공격자가 접근 권한을 확보하면 위협이 빠르게 확산될 수 있습니다. Mandiant에 따르면 2022년에는 초기 침해와 다른 범죄 그룹으로의 인계 간 중간값이 8시간 이상이었으나, 2025년에는 단 22초로 줄어든 것으로 나타났습니다.
위협은 이미 명확히 드러나고 있습니다. 10월 19일 업데이트에서 Unit 42는 Qilin 및 Inc 랜섬웨어 운영자들이 CVE-2026-0257을 악용하려고 시도했다고 보고했습니다. 또한 Settra 관련 별도 사례들도 언급되었습니다. 다만, 이전 조사에서는 공격자가 영향 받은 네트워크 내부로 더 깊게 침투했다는 증거는 발견되지 않았습니다.
금융 및 암호화폐 인프라에 미치는 영향
IBM에 따르면 보고된 AI 기반 공격의 62%가 주요 인프라를 표적으로 삼았습니다. 금융 서비스 분야 데이터 유출 사고의 평균 피해액은 630만 달러였습니다. 또한 IMF는 10월 사이버 위협이 금융 네트워크의 상호 연결성 증가로 인해 시스템적 위험으로 발전할 수 있다고 경고했습니다. 암호화폐 기업들도 접근 권한 침해로 인한 유사한 위험에 직면해 있습니다. Cryptopolitan은 2026년 9월 Fetch.ai와 NuNet 관련 약 200만 달러의 손실을 보도했습니다. 해당 사건들은 VPN 접근이 아닌 서명 자격증명(credentials)의 침해와 관련되었으며, k0t와의 명확한 연관성은 확인되지 않았습니다.
암호화폐 뉴스를 단순히 읽는 것을 넘어, 이해하세요. 뉴스레터에 구독하세요. 무료입니다.
자주 묻는 질문
k0t는 누구이며 어떤 행위를 저질렀는가?
k0t는 Group-IB와 NyxLab가 2026년 10월 21일에 공개한 위협 행위자입니다. 이들은 노출된 Fortinet FortiGate, FortiWeb 및 Palo Alto GlobalProtect 장치를 대상으로 한 캠페인을 진행했으며, 70,000개 이상의 자격증명과 디렉토리 데이터를 탈취한 후 지속적인 VPN 및 원격 관리 접근 권한을 확보했습니다.
k0t 캠페인이 FortiBleed와 동일한 것인가?
아니요. Group-IB는 70,000개의 자격증명 데이터셋이 FortiBleed 클러스터와 거의 겹치지 않으며, 공유된 운영자는 입증되지 않았으므로 두 그룹을 결합해서는 안 된다고 말합니다.
FortiBleed가 침해한 장치는 몇 대입니까?
FBI와 미국 비밀 서비스의 2026년 10월 6일자 공동 권고에 따르면 SOCRadar는 194개국에서 86,644대의 침해된 장치를 확인했습니다.
면책 조항. 제공된 정보는 투자 조언이 아닙니다. Cryptopolitan.com은 이 페이지에 제공된 정보를 기반으로 이루어진 모든 투자에 대해 책임을 지지 않습니다. 어떤 투자 결정을 내리기 전에 독립적인 조사나 자격을 갖춘 전문가와의 상담을 강력히 권장합니다.
이비아м 와야스
이비암 와야스는 2019 년부터 암호화폐 뉴스 분야를 취재해 왔습니다. 그는 나이지리아 국립오픈대학교에서 컴퓨터공학을 전공했으며, 코인포마니아, 암호화폐 뉴스 오스트레일리아, 알코인버즈 등 다양한 암호화폐 뉴스 플랫폼에 기고했습니다. 컴퓨터공학 배경을 바탕으로 현재 암호화폐, 로봇공학, 장수 관련 뉴스를 집중적으로 다루고 있습니다.
