Group-IB y NyxLab han destapado una campaña del actor k0t que escanea internet en busca de cortafuegos y VPN de Fortinet y Palo Alto vulnerables, sin mirar sector ni tamaño. Se le vincula al ransomware Qilin. Si tienes un FortiGate o un GlobalProtect expuesto, parchéalo hoy, activa MFA y rota las contraseñas de la VPN.
Lo esencial
- Group-IB y NyxLab publicaron una investigación conjunta que The Hacker News recogió el 23 de octubre de 2026. Han identificado más de 70.000 credenciales asociadas a dispositivos de red y volcados LDAP.
- El actor se conoce como k0t (alias CryptoFeel, Member19 y QazWsxShop) y se vio por primera vez el 22 de octubre de 2025. Se le asocia con Qilin y The Gentlemen, probablemente como corredor de acceso inicial o afiliado.
- Explota CVE-2025-64446 (path traversal en FortiWeb) y CVE-2026-0257 (bypass de autenticación en PAN-OS y Prisma Access, CVSS 7.8), además de fuerza bruta con usuarios y contraseñas comunes.
- Palo Alto parcheó CVE-2026-0257 en mayo de 2026, pero según un informe de Unit 42 del 20 de octubre recogido por The Hacker News, Qilin e INC siguen explotándolo para saltarse el MFA y abrir sesiones VPN.
- Reparto de víctimas: 38% en Asia-Pacífico, 31,9% en Latinoamérica, 15,8% en Europa y 12,7% en Oriente Medio y norte de África.
¿Me afecta si tengo un FortiGate o un GlobalProtect?
Si está accesible desde internet, estás en su radar. Según los investigadores, k0t elige objetivos enumerando equipos expuestos a escala, sin investigar organizaciones concretas. No necesita saber cómo se llama tu empresa: le basta con que tu VPN responda. Sus prioridades declaradas son EE. UU. y Canadá, seguidos de Europa y algunos mercados de Asia-Pacífico.
La entrada no siempre exige una vulnerabilidad. La fuerza bruta con contraseñas comunes funciona contra cualquier VPN con una cuenta genérica y una clave débil.
¿Qué hace k0t una vez dentro?
Establece una conexión OpenConnect VPN, roba más credenciales y enumera Active Directory, recursos SMB y el antivirus instalado. Para quedarse, instala herramientas legítimas de acceso remoto (MeshCentral Agent, Atera, Teramind, AnyDesk) y el framework AdaptixC2. También usa Mimikatz, Impacket y NetExec, y exfiltra datos.
Muchas de estas herramientas son las mismas que usa un proveedor de IT. Un antivirus no siempre las marcará como maliciosas. Por eso necesitas saber cuáles instalaste tú.
¿Hay víctimas en España?
Los datos publicados no lo desglosan. Europa concentra el 15,8% de las víctimas y figura entre las prioridades del actor. Como no elige por sector ni por nombre, que no haya cifras españolas no es motivo para relajarse.
Qué hacer hoy
- Pide a tu proveedor de IT o MSP un inventario de todas las VPN y cortafuegos accesibles desde internet.
- Comprueba que PAN-OS y FortiOS/FortiWeb tienen todos los parches, incluido el de CVE-2026-0257. Si no puedes parchear ya, aplica la mitigación del fabricante: desactivar el "authentication override" o usar un certificado dedicado para las cookies, según Dark Reading.
- Cierra la interfaz de gestión del equipo a internet y obliga a usar MFA en la VPN.
- Cambia las contraseñas de VPN, de administración y de las cuentas de servicio vinculadas, sobre todo si no se han rotado este año.
- Revisa los registros: conexiones VPN anómalas, herramientas de acceso remoto que no instalaste (AnyDesk, Atera, MeshCentral) y subidas de datos inusuales.
- Si gestionas servicios para terceros, o terceros gestionan los tuyos, pregunta a tus proveedores si tienen equipos expuestos.
Qué significa para una pyme
La VPN es la puerta de entrada de casi cualquier empresa con teletrabajo, y esta campaña confirma que también es la del atacante. Que k0t no investigue a sus víctimas desmonta el argumento de "somos pequeños, nadie nos va a buscar". Nadie te busca: te encuentra un escáner.
Nuestra postura: si tu equipo Palo Alto lleva sin parchear desde mayo, no basta con parchear hoy. Un parche cierra la puerta, pero no echa a quien ya entró. Revisa registros y rota credenciales como si hubiera habido intrusión. El vínculo con Qilin y The Gentlemen indica cómo suele acabar esto: alguien consigue la entrada y un grupo de ransomware la aprovecha.
Lo más rentable es reducir lo que expones. Una interfaz de gestión que no se ve desde internet no se puede atacar desde internet. Si no tienes claro qué tienes expuesto, ese inventario es el primer paso, y es lo que trabajamos en ciberseguridad para pymes.
Una limitación: estos datos proceden del resumen de The Hacker News sobre el informe de Group-IB y NyxLab. No hemos podido consultar el informe original.
Preguntas frecuentes
¿Basta con aplicar el parche de CVE-2026-0257?
No. k0t también entra por fuerza bruta con contraseñas comunes y, si ya estaba dentro, el parche no elimina las herramientas de acceso remoto que haya dejado. Parchea, rota contraseñas y revisa registros.
¿El MFA me protege?
Ayuda, pero según Unit 42, Qilin e INC explotan CVE-2026-0257 precisamente para saltarse el MFA. MFA y parche tienen que ir juntos.
¿Qué es un corredor de acceso inicial?
Un actor que consigue entrar en redes ajenas y suele vender ese acceso a grupos de ransomware. Es el papel que los investigadores atribuyen, probablemente, a k0t.
Fuentes
- The Hacker News – Hackers Breach Enterprise Firewalls and VPNs, Exposing Over 70,000 Credentials
- The Hacker News – Qilin and INC Ransomware Groups Exploit Palo Alto Networks Flaw to Bypass MFA
- INCIBE-CERT – CVE-2026-0257
- Dark Reading – Patch Now: Another Palo Alto Auth Bypass Bug Under Active Exploit
