k0t : 70 000 identifiants Fortinet et Palo Alto volés

Ce qui s'est passé

Le 21 octobre 2026, les équipes de recherche de Group-IB et du laboratoire NyxLab ont publié une analyse technique détaillée d'une campagne de compromission massive ciblant les équipements de sécurité réseau des entreprises. L'opération, attribuée à un acteur surnommé k0t, a permis la collecte et la mise en ligne de plus de 70 000 identifiants et données associées provenant d'appareils FortiGate, FortiWeb et des passerelles Palo Alto Networks GlobalProtect. La campagne est active depuis plusieurs mois et continue de cibler de nouveaux équipements au moment de la publication du rapport.

Les méthodes employées par k0t sont variées et adaptées aux différentes cibles. Pour les équipements FortiGate, les analystes ont identifié principalement des attaques par force brute sur des mots de passe faibles ou par défaut, combinées à l'exploitation de configurations incorrectes exposant l'interface d'administration sur internet. Pour FortiWeb — le WAF (Web Application Firewall) de Fortinet —, la vulnérabilité CVE-2025-64446 est exploitée activement. Bien que cette faille ait été corrigée par Fortinet en 2025, de nombreux équipements non mis à jour restent exposés plus d'un an après la publication du patch. Côté Palo Alto Networks, la CVE-2026-0257 — déjà utilisée par des opérateurs ransomware comme Qilin, INC et Settra en début d'année 2026 — est de nouveau exploitée pour compromettre les passerelles GlobalProtect.

Au-delà de la simple collecte d'identifiants, Group-IB a documenté plusieurs cas où k0t est allé plus loin. Dans une fraction des cibles compromises, des backdoors persistants ont été installés, permettant un accès ultérieur sans nécessiter de réexploitation de la vulnérabilité. Ces accès résiduels constituent une marchandise de premier choix sur les marchés underground, où des groupes d'initial access brokers les revendent à des opérateurs de ransomware. Des indicateurs techniques présents dans la campagne suggèrent que des affiliés de groupes ransomware établis ont déjà utilisé certains de ces accès pour se déplacer latéralement dans les réseaux cibles.

Les données publiées couvrent un large spectre géographique et sectoriel. Selon les analyses de Group-IB, les secteurs les plus représentés parmi les cibles comprennent la finance et les assurances, la santé, l'industrie manufacturière et les administrations publiques. Les régions les plus touchées sont l'Europe occidentale, l'Amérique du Nord et l'Asie-Pacifique, bien que des cibles africaines et sud-américaines aient également été identifiées. En France, plusieurs entreprises du CAC 40 étendu utilisant des déploiements FortiGate en périphérie ont été contactées en privé par Group-IB pour notification, selon des informations recueillies dans la communauté sécurité.

Le profil de k0t reste à ce stade partiellement établi. Les analystes de NyxLab décrivent un acteur opportuniste et financièrement motivé, sans attribution géographique solide. Les TTPs (Tactics, Techniques and Procedures) observés correspondent à ceux d'un access broker expérimenté plutôt qu'à un groupe APT étatique. La capacité à développer des outils personnalisés adaptés aux spécificités de chaque plateforme cible (FortiOS, PAN-OS) suggère cependant un niveau technique supérieur à la moyenne des cybercriminels opportunistes.

Fortinet et Palo Alto Networks ont tous deux été notifiés et ont publié des bulletins de sécurité complémentaires. Fortinet a rappelé les recommandations de durcissement pour FortiGate, insistant sur la désactivation de l'accès administratif HTTPS depuis internet et l'activation de l'authentification multi-facteur (MFA) pour l'interface de gestion. Palo Alto Networks a mis à jour ses recommandations pour GlobalProtect en renforçant les contrôles de détection d'exploitation de la CVE-2026-0257. La CISA américaine a intégré cette CVE dans sa liste KEV (Known Exploited Vulnerabilities) lors de la mise à jour du 24 octobre 2026, signifiant que toutes les agences fédérales américaines disposent d'un délai réglementaire pour patcher leurs systèmes.

Les équipes de sécurité qui souhaitent vérifier si leurs équipements ont été compromis peuvent rechercher les indicateurs de compromission (IoC) publiés par Group-IB et NyxLab dans leur rapport. Ces IoC incluent des adresses IP d'infrastructure de commandement et contrôle, des user agents personnalisés utilisés lors des phases d'exploitation, et des hashes de fichiers correspondant aux outils déployés par k0t. Les SIEM et outils EDR compatibles STIX/TAXII peuvent ingérer ces indicateurs directement depuis les flux de threat intelligence correspondants.

Pour les équipes disposant de FortiGate ou Palo Alto GlobalProtect dans leur DMZ ou en télétravail VPN, la priorité immédiate est de vérifier les logs d'authentification pour des tentatives de connexion depuis des IP inconnues, de rechercher des sessions persistantes inhabituelles et de contrôler l'intégrité des configurations courantes. Si des anomalies sont détectées, une réponse à incident complète est nécessaire avant toute correction — le risque de backdoors résiduels imposant une forensic des équipements concernés avant toute remédiation.

Pourquoi c'est important

Les équipements réseau de périmètre — pare-feux, VPN, WAF — sont devenus la cible privilégiée des attaquants sophistiqués depuis 2023. La raison est simple : ils sont directement exposés sur internet, souvent mal monitorés par les équipes SOC (qui se concentrent sur les endpoints et les serveurs), et leur compromission offre un point d'entrée à très haute valeur dans le réseau cible. La campagne k0t s'inscrit dans une tendance documentée par le CERT-FR et l'ANSSI dans plusieurs alertes publiées depuis 2024 sous l'appellation exploitation des équipements en bordure de réseau.

La combinaison de vulnérabilités connues non patchées et de brute-force sur des mots de passe faibles révèle un problème d'hygiène basique persistant dans de nombreuses organisations. La CVE-2025-64446 sur FortiWeb a été corrigée plus d'un an avant la campagne k0t — et pourtant, elle est encore exploitable à grande échelle. Cela illustre le décalage récurrent entre la publication d'un patch et son déploiement effectif dans les organisations, en particulier pour les équipements réseau dont les mises à jour nécessitent une fenêtre de maintenance planifiée et un risque de coupure de service.

L'aspect le plus alarmant reste la chaîne de valeur cybercriminelle qui s'est structurée autour de ces accès. Les access brokers comme k0t ne sont pas nécessairement les auteurs des attaques finales — ils vendent les accès à d'autres groupes spécialisés dans le ransomware, l'espionnage ou la fraude. Cette division du travail rend la réponse à incident plus complexe : une organisation qui découvre ses identifiants dans le dump de k0t ne sait pas encore quelle menace va concrètement utiliser cet accès, ni dans quel délai. L'urgence de la remédiation est donc totale, quelle que soit la nature présumée de l'acteur initial.

Pour les entreprises françaises, l'ANSSI a publié plusieurs guides techniques sur le durcissement des équipements Fortinet et Palo Alto dans le cadre de sa doctrine de sécurisation des accès distants. Ces ressources constituent une référence pratique pour les équipes qui souhaitent évaluer leur exposition avant de procéder à une remédiation complète.

Ce qu'il faut retenir

• Vérifiez immédiatement si vos FortiGate, FortiWeb ou Palo Alto GlobalProtect sont exposés sur internet et si les CVE-2025-64446 et CVE-2026-0257 sont patchées — la campagne k0t cible activement ces équipements.
• En cas de doute sur une compromission, ne vous limitez pas à patcher : une forensic est nécessaire pour détecter les backdoors persistants installés par k0t avant la remédiation.
• Activez le MFA sur toutes les interfaces d'administration réseau exposées et désactivez l'accès HTTPS administratif depuis internet — deux mesures de durcissement élémentaires qui auraient bloqué la majorité des compromissions documentées dans cette campagne.