Cómo la campaña k0t robó más de 70.000 credenciales a través de FortiGate, FortiWeb y GlobalProtect

Group-IB y la firma NyxLab publicaron el 21 de octubre de 2026 una investigación conjunta sobre una campaña contra equipos perimetrales en la que k0t figura, según los investigadores, como probablemente uno de sus operadores principales. El informe describe una operación colaborativa más que la de un único actor. La campaña acumuló más de 70.000 credenciales y datos relacionados, entre ellos volcados de directorios LDAP, a través de cortafuegos FortiGate, cortafuegos de aplicaciones web (WAF) FortiWeb y pasarelas VPN GlobalProtect de Palo Alto Networks.

En muchos FortiGate, el atacante entró con contraseñas débiles o por defecto en interfaces de administración expuestas a Internet, sin explotar ninguna vulnerabilidad nueva. Con ese acceso obtenía la configuración del equipo, que contiene las cuentas con las que el cortafuegos consulta el Active Directory de la empresa. Group-IB evalúa que los operadores probablemente actúan como intermediarios de accesos iniciales (initial access brokers), y varias víctimas aparecieron después en los sitios de filtración de los grupos de ransomware Qilin y The Gentlemen, aunque esa relación no está confirmada.

¿Qué alcance tiene la campaña k0t?

La campaña k0t ha afectado a organizaciones de todo el mundo y de muchos sectores, con numerosos compromisos de FortiGate fechados entre febrero y junio de 2026, según Group-IB y NyxLab. El operador localiza los equipos expuestos con buscadores de superficie de ataque y los ataca de forma masiva.

La cifra de 70.000 corresponde a credenciales y datos relacionados, no a empresas comprometidas. Group-IB no publica el número de víctimas y considera su recuento por dominios únicos un límite inferior. En el servidor MeshCentral del atacante, una herramienta legítima de administración remota, contó 28 grupos activos de dispositivos con 84 equipos comprometidos, además de rastros de otros 100 grupos ya eliminados.

Asia-Pacífico concentra el 37,6 % de los dominios identificados y Latinoamérica es la otra región con más peso, aunque el informe advierte de que esa distribución no prueba que se eligieran regiones a propósito. En un foro, el operador situó a Estados Unidos y Canadá como prioridad, seguidos de países europeos y de algunos mercados de Asia-Pacífico.

Esta cifra no debe confundirse con la de FortiBleed, otra campaña contra FortiGate sobre la que el FBI y el Servicio Secreto de EE. UU. alertaron a principios de octubre, según The Hacker News. Group-IB asocia con confianza moderada la actividad de k0t con la de FortiBleed, pero el solapamiento de datos comprometidos es mínimo y no permite afirmar que los mismos operadores controlaran ambos conjuntos.

¿Qué debilidades aprovechó k0t en los equipos de Fortinet y Palo Alto?

La campaña explotó CVE-2025-64446 en FortiWeb y CVE-2026-0257 en GlobalProtect, y en FortiGate combinó contraseñas débiles con la debilidad CVE-2019-6693. Fortinet hizo público el fallo de FortiWeb en su aviso FG-IR-25-910 del 14 de noviembre de 2025, cuando ya se explotaba. CISA lo incluyó ese mismo día en su catálogo KEV de vulnerabilidades explotadas. Tras actualizar, Fortinet pide revisar si se han creado administradores no autorizados.

Los FortiGate no son vulnerables al fallo de FortiWeb. Contra ellos, la campaña usó un ataque de fuerza bruta contra la API REST de administración con combinaciones de usuario y contraseña habituales. Cuando acertaba, descargaba la configuración y descifraba fuera del equipo sus secretos, aprovechando la clave fija que FortiOS usa por defecto, registrada como CVE-2019-6693 en el aviso FG-IR-19-007. Esa debilidad no se corrige actualizando, porque el cifrado de datos privados que la evita viene desactivado. CISA la añadió a su catálogo KEV en junio de 2025 con uso conocido en campañas de ransomware.

En GlobalProtect, CVE-2026-0257 es una omisión de autenticación que Palo Alto Networks corrigió el 13 de mayo de 2026. Afecta a portales y pasarelas con las cookies de anulación de autenticación (authentication override) activadas junto con determinada configuración de certificado, y también a Prisma Access, que Palo Alto actualiza por su cuenta, según su aviso de seguridad. CISA la añadió al catálogo KEV el 29 de mayo. Unit 42, el equipo de inteligencia de Palo Alto, ha observado intentos de explotación por parte de operadores de ransomware, entre ellos Qilin e INC.

¿Por qué la configuración de un cortafuegos vale tanto?

La configuración de un cortafuegos integrado con Active Directory vale tanto porque guarda, cifradas de forma reversible, la contraseña de su cuenta LDAP y las de los usuarios locales de VPN. También guarda otros secretos, como claves precompartidas IPsec o secretos RADIUS. Las contraseñas de administración se guardan como hash. Si esos secretos se pueden descifrar, una sola configuración robada da al atacante el primer paso dentro del dominio.

NyxLab insiste en que una intrusión en un equipo perimetral debe tratarse como un posible compromiso de credenciales corporativas. Por eso el informe recomienda activar el cifrado de datos privados de FortiGate y auditar las cuentas LDAP que usan los equipos del perímetro, que deberían tener los permisos mínimos.

¿Qué hacían los operadores una vez dentro?

Una vez dentro, los operadores enumeraban Active Directory, extraían credenciales y trataban de escalar a administrador de dominio con herramientas de uso dual como NetExec, Impacket, Kerbrute o Mimikatz, según Group-IB. El informe recoge el uso de noPac (CVE-2021-42278 y CVE-2021-42287) con ese fin.

Mantenían el acceso con herramientas de administración remota como MeshCentral, Atera o AnyDesk, túneles ngrok y AdaptixC2, un marco de mando y control (C2) de código abierto. Sacaban datos con Rclone hacia servicios de almacenamiento en la nube como Wasabi y MEGA. Group-IB no describe despliegues de ransomware por parte de k0t, y ese patrón de acceso, robo de credenciales y exfiltración es compatible con la venta de accesos, que es la hipótesis de los investigadores.

¿Está k0t relacionado con Qilin y The Gentlemen?

La relación entre k0t y estos dos grupos de ransomware no está confirmada, aunque Group-IB ha observado que varias víctimas de la campaña aparecieron después en los sitios de filtración de Qilin y The Gentlemen. Group-IB precisa que no ha podido confirmar ninguna relación entre los operadores y esos grupos, ni siquiera una afiliación directa.

Ambos grupos están entre los más activos de 2026. Según ReliaQuest, en el segundo trimestre The Gentlemen sumó 300 víctimas publicadas y Qilin, 289. Arctic Wolf documentó en julio varias intrusiones de Qilin que empezaban con la explotación de CVE-2026-0257 y estima, con confianza moderada, que probablemente continúan. Junto con lo observado por Unit 42, sugiere que los equipos perimetrales son una vía de entrada habitual para afiliados de Qilin, tanto si explotan el fallo directamente como si compran el acceso.

¿Afecta la campaña k0t a empresas españolas?

A 28 de octubre de 2026 no consta ninguna víctima española de k0t, porque el informe de Group-IB no cita España y la lista de víctimas no es pública. El operador sí situó a los países europeos entre sus objetivos prioritarios, por detrás de Estados Unidos y Canadá.

Por separado, Escudo Digital informó en enero de 2026 de que Qilin había reivindicado en su sitio de filtraciones a una empresa española. La Agencia de Transformación Digital de Castilla-La Mancha señaló en su informe del primer trimestre que el grupo aprovecha cortafuegos FortiGate del perímetro y que en España y Europa ha atacado sobre todo a la industria manufacturera. Ningún dato vincula esa víctima con k0t.

Sin una lista pública de víctimas, la comprobación útil para una empresa española es revisar si sus equipos perimetrales cumplen las condiciones que la campaña aprovechó.

¿Cuáles son las medidas prioritarias en el perímetro?

Lo prioritario es sacar de Internet la administración de los equipos, eliminar las contraseñas por defecto, activar MFA, parchear FortiWeb y GlobalProtect y activar el cifrado de datos privados de FortiGate. Group-IB las recoge en su informe, y Fortinet y Palo Alto Networks, en sus avisos de seguridad.

• La consola y la API de administración de cortafuegos, WAF y pasarelas VPN deberían estar accesibles solo desde una red interna de gestión o una VPN de confianza, nunca desde Internet.
• Ninguna cuenta de administración debería conservar contraseñas por defecto o comunes, y todas deberían usar autenticación multifactor (MFA) cuando el equipo lo admita.
• FortiWeb debe estar en una versión corregida frente a CVE-2025-64446. Hasta actualizar, Fortinet indica desactivar HTTP y HTTPS de administración en las interfaces expuestas a Internet.
• En FortiGate, el cifrado de datos privados (private-data-encryption) debe estar activado. Antes de hacerlo hay que comprobar el efecto en clústeres de alta disponibilidad, FortiManager y copias de configuración, porque solo protege lo que se cifra a partir de ese momento.
• Las cuentas de administración creadas sin una petición documentada, las exportaciones de configuración y los cambios en los hosts de confianza deben revisarse como posibles indicios de compromiso.

Saber qué equipos de la organización exponen su administración a Internet exige un inventario externo y periódico, que es la base de un servicio de gestión de la superficie de ataque. La priorización de parches según su explotación activa, que explicamos en nuestro análisis sobre gestión de vulnerabilidades y credenciales comprometidas, sitúa estos fallos en la parte alta de la lista.

¿Cómo se protege la administración de un FortiGate?

En FortiGate, la API REST usa el mismo servicio HTTPS que la consola de administración, de modo que hay que retirar HTTPS, SSH y HTTP del acceso administrativo de las interfaces WAN. Fortinet recomienda combinar dos controles, que son los hosts de confianza en cada administrador y usuario de API y una política local-in que deniegue esos servicios desde Internet.

El bloqueo tras intentos fallidos dura 60 segundos por defecto y debería alargarse, como sugiere Group-IB, además de deshabilitar o renombrar la cuenta admin por defecto. Los registros de tráfico local, que muestran los intentos contra la administración, vienen desactivados por defecto y deben activarse.

En las versiones de FortiOS anteriores a la 7.6.1, el secreto del cifrado de datos privados lo define la organización, y desde la 7.6.1 lo genera el equipo. Desde la 7.6.3 la función solo está disponible en modelos con TPM. Las copias de configuración que ya existan, en FortiManager, servidores de copias o adjuntos de tickets de soporte, siguen cifradas con el secreto por defecto y deben tratarse como expuestas.

¿Por qué el MFA no protege frente a CVE-2026-0257?

El MFA no protege frente a CVE-2026-0257 porque el fallo está en la cookie que evita volver a autenticarse. Además, el portal y la pasarela de GlobalProtect tienen que ser accesibles desde Internet, así que aislar la administración tampoco sustituye a la corrección. Palo Alto pide actualizar a la vez todos los portales y pasarelas que generan o aceptan esas cookies, porque una actualización parcial provoca fallos de compatibilidad.

Si no se puede actualizar aún, hay que desactivar la anulación de autenticación por cookie o usar para esas cookies un certificado nuevo y exclusivo, que no se haya usado en otro servicio. En despliegues híbridos con Prisma Access también hay que actualizar los cortafuegos de la organización. Arctic Wolf aconseja, además, cerrar las sesiones activas después de parchear.

¿Cómo se detecta una intrusión de este tipo?

Una intrusión de este tipo se detecta sobre todo en los registros del cortafuegos, el WAF y la VPN, que deben enviarse a un SIEM porque estos equipos suelen quedar fuera del alcance del EDR. Ese hueco lo analizamos en los puntos ciegos del EDR en los dispositivos de red.

En el SIEM hay que vigilar los bloqueos de cuentas de administración, el uso de la API REST, las descargas de configuración, las altas de administradores y los cambios en los hosts de confianza, sobre todo si quedan abiertos a todo origen. Para CVE-2026-0257, Unit 42 y Arctic Wolf señalan sesiones de GlobalProtect desde rangos de proveedores de alojamiento y con nombres de equipo genéricos o por defecto.

La señal más específica es que la cuenta LDAP del cortafuegos inicie sesión desde un equipo distinto del cortafuegos. Los controladores de dominio registran esos inicios de sesión, y una alerta para esa cuenta desde otras direcciones genera pocos falsos positivos. Como los compromisos documentados se remontan a febrero de 2026, la búsqueda retrospectiva necesita registros del perímetro al menos desde enero, y desde antes de noviembre de 2025 en FortiWeb. Si los registros solo se guardaban en el equipo y no cubren ese periodo, la falta de alertas no descarta el compromiso.

Dentro de la red, el informe recomienda buscar actividad de herramientas de ataque contra Active Directory, instalaciones no autorizadas de programas de administración remota y transferencias inesperadas hacia Wasabi, MEGA o ngrok. Mantener una lista de herramientas de acceso remoto autorizadas y alertar de toda instalación ajena a ella sirve tanto contra esta campaña como contra quien compre el acceso después.

Group-IB publica indicadores específicos de esta campaña, como dominios y direcciones de MeshCentral, servidores de AdaptixC2 y hashes de ficheros. Los de Unit 42 y Arctic Wolf corresponden a la explotación de CVE-2026-0257 y a intrusiones de Qilin, no a k0t. Como las direcciones IP cambian pronto, deben combinarse con la búsqueda de comportamientos que hace un servicio de threat hunting o un SOC gestionado con visibilidad sobre el perímetro.

¿Por qué parchear el equipo no cierra el incidente?

Actualizar el equipo corrige la vulnerabilidad, pero no invalida las credenciales ni las configuraciones ya robadas, y en los FortiGate atacados por fuerza bruta no había ningún fallo que corregir. Group-IB recomienda tratar una configuración expuesta como una filtración de credenciales y rotar todas las que contenga.

El orden importa, porque si se rota antes de cerrar el acceso del atacante al equipo, este puede volver a leer los secretos nuevos. Si hay indicios, el procedimiento de respuesta a incidentes suele seguir esta secuencia.

• Se conservan los registros del equipo y del SIEM y una copia de la configuración antes de actualizar o reiniciar.
• Se retira de Internet la administración del equipo y se cierran las sesiones VPN y de administración activas.
• Se eliminan los administradores y hosts de confianza no autorizados, se aplican los parches y se activa el cifrado de datos privados.
• Se rotan las credenciales de la configuración, empezando por la cuenta de enlace LDAP en el directorio y siguiendo por usuarios locales, secretos RADIUS o TACACS+ y claves IPsec, en coordinación con el otro extremo de cada túnel.

Si hay señales de compromiso del dominio, como la escalada con noPac que describe Group-IB, Arctic Wolf aconseja asumir el compromiso total del dominio y restablecer dos veces la cuenta krbtgt siguiendo la guía de Microsoft. La segmentación de la red interna limita además lo que un acceso por VPN permite alcanzar.

¿Cuándo hay que notificar una intrusión de este tipo?

Una intrusión de este tipo debe notificarse a la AEPD en un plazo de 72 horas si compromete datos personales con riesgo para sus titulares. Los volcados LDAP suelen incluirlos, como nombres, correos y grupos de los empleados. Las entidades del sector público y sus proveedores sujetos al Esquema Nacional de Seguridad deben comunicar además los incidentes significativos al CCN-CERT.

En el sector financiero, DORA obliga a clasificar el incidente y, si resulta grave, a enviar una notificación inicial al supervisor en las 4 horas siguientes a la clasificación y no más tarde de 24 horas desde que se tiene conocimiento de él. Los operadores de servicios esenciales notifican a su CSIRT de referencia según el Real Decreto-ley 12/2018, mientras España completa la transposición de NIS2.

Fuentes y atribución: este análisis se basa en la investigación de Group-IB y NyxLab del 21 de octubre de 2026 y en los avisos de seguridad de Fortinet y Palo Alto Networks. También recoge los análisis de Unit 42 y Arctic Wolf, el informe de ReliaQuest del segundo trimestre y la información sobre FortiBleed publicada por The Hacker News, con la información disponible a 28 de octubre de 2026. La relación de k0t con Qilin y The Gentlemen es una coincidencia de víctimas señalada por los investigadores, no una atribución confirmada. La mención de fabricantes no implica fallos distintos de los que ellos mismos han publicado en sus avisos.

Aviso: las recomendaciones son orientativas y deben adaptarse a cada entorno y probarse antes de aplicarlas en producción. La notificación de incidentes depende del sector y de la normativa aplicable a cada organización.