Más de 70 mil credenciales expuestas: la campaña que convirtió firewalls y VPN en puertas de entrada

Los firewalls y las VPN son componentes esenciales para proteger las redes corporativas. Sin embargo, una investigación reciente demuestra cómo estos mismos dispositivos pueden convertirse en puntos de acceso para los ciberdelincuentes.

El 21 de octubre de 2026, Group-IB y NyxLab revelaron una campaña de ciberataques vinculada al actor de amenazas conocido como k0t, que ha aprovechado vulnerabilidades y configuraciones inseguras en dispositivos de Fortinet y Palo Alto Networks.

La investigación identificó más de 70 mil credenciales y registros relacionados expuestos, así como evidencias de accesos persistentes a redes corporativas y posibles conexiones con operaciones de ransomware.

¿Cómo operaba la campaña k0t?

A diferencia de los ataques dirigidos exclusivamente a una organización, esta campaña utilizó herramientas de reconocimiento para identificar dispositivos de red expuestos a internet.

Los investigadores documentaron actividades contra tres tecnologías:

• Fortinet FortiGate: ataques de fuerza bruta y recuperación de credenciales almacenadas en configuraciones.
• Fortinet FortiWeb: explotación de CVE-2025-64446 para realizar acciones administrativas no autorizadas.
• Palo Alto GlobalProtect: intentos de aprovechar CVE-2026-0257, una vulnerabilidad que permite evadir la autenticación bajo determinadas configuraciones.

Una vez obtenido el acceso inicial, los atacantes podían:

• Extraer información.
• Recuperar credenciales.
• Mantener acceso persistente.
• Utilizar herramientas de administración remota.
• Explorar otros recursos dentro de los entornos comprometidos.

El caso demuestra cómo un dispositivo ubicado en el perímetro de la red puede convertirse en el primer eslabón de una intrusión de mayor alcance.

Latinoamérica, entre las regiones con mayor exposición

Uno de los hallazgos relevantes de la investigación fue la distribución geográfica de las organizaciones identificadas.

Asia-Pacífico y Latinoamérica concentraron las mayores proporciones de dominios únicos observados en los datos analizados.

Sin embargo, los investigadores advierten que esto no demuestra que ambas regiones fueran objetivos deliberados.

La distribución podría estar relacionada con la cantidad de dispositivos vulnerables detectados mediante herramientas públicas de reconocimiento.

Este hallazgo pone sobre la mesa la importancia de mantener visibilidad continua sobre los dispositivos perimetrales expuestos a internet.

¿Qué relación existe con el ransomware?

La investigación también encontró coincidencias entre algunas organizaciones afectadas y víctimas asociadas con los grupos de ransomware Qilin y The Gentlemen.

Esto llevó a los especialistas a considerar la posibilidad de que k0t opere como un Initial Access Broker (IAB).

Este tipo de actor se especializa en obtener acceso inicial a organizaciones y posteriormente facilitarlo o comercializarlo para que otros grupos criminales continúen con distintas etapas del ataque.

No obstante, la relación directa entre k0t y estas organizaciones de ransomware todavía no ha sido confirmada.

La posibilidad resulta especialmente relevante porque demuestra cómo el compromiso de un dispositivo perimetral puede representar el inicio de una cadena de ataques mucho más compleja.

El desafío para los responsables de ciberseguridad

Este caso evidencia que la protección perimetral no depende únicamente de contar con soluciones de seguridad reconocidas.

También requiere una gestión continua de:

• Vulnerabilidades.
• Configuraciones.
• Credenciales.
• Accesos administrativos.
• Servicios expuestos.
• Actividad sospechosa.

Para los CISO y sus equipos, algunas acciones prioritarias incluyen:

1. Identificar dispositivos expuestos

Mantener actualizado el inventario de firewalls, VPN y servicios de administración accesibles desde internet.

No es posible proteger adecuadamente aquello que la organización no sabe que está expuesto.

2. Verificar vulnerabilidades y configuraciones

Revisar periódicamente los avisos de seguridad de los fabricantes y aplicar las actualizaciones correspondientes.

También es importante identificar configuraciones inseguras que puedan ampliar innecesariamente la superficie de ataque.

3. Proteger las credenciales

Evaluar la posible exposición de secretos almacenados y rotarlos cuando existan indicios de compromiso.

Las credenciales presentes en configuraciones, respaldos o dispositivos comprometidos pueden convertirse en una vía para extender el acceso del atacante.

4. Investigar accesos persistentes

Revisar:

• Cuentas administrativas desconocidas.
• Sesiones VPN sospechosas.
• Cambios no autorizados de configuración.
• Herramientas de acceso remoto no reconocidas.
• Nuevos mecanismos de persistencia.

Eliminar la vulnerabilidad inicial no siempre significa que el atacante haya perdido completamente el acceso.

5. Fortalecer el monitoreo

Correlacionar eventos de autenticación, cambios de configuración y conexiones inusuales puede ayudar a identificar comportamientos que, analizados de manera aislada, podrían pasar desapercibidos.

Cuando la primera línea de defensa se convierte en el objetivo

La campaña k0t demuestra que los dispositivos diseñados para proteger la infraestructura empresarial también pueden convertirse en objetivos de alto valor.

Firewalls, VPN y sistemas de acceso remoto se encuentran en una posición especialmente sensible: están expuestos hacia el exterior y, al mismo tiempo, pueden contar con privilegios importantes dentro de la red.

Más allá de las 70 mil credenciales y registros identificados, el caso plantea una pregunta fundamental para los responsables de seguridad:

¿Qué tan protegidos están los sistemas que utilizamos para proteger al resto de la organización?

En un entorno donde los atacantes aprovechan tanto vulnerabilidades conocidas como configuraciones deficientes, mantener el control sobre la infraestructura perimetral es fundamental para reducir la exposición y prevenir compromisos de mayor alcance.