Ataque a firewalls Fortinet y Palo Alto alcanza más a Asia y Latinoamérica

Un operador criminal que se hace llamar k0t entró a redes de empresas de todo el mundo a través de sus firewalls y portales de VPN, y dejó expuestas más de 70.000 credenciales. Así lo informó la empresa de ciberseguridad Group-IB en un informe publicado el martes 21 de octubre a las 07:19 UTC, hecho junto con la firma NyxLab. Asia Pacífico y Latinoamérica son las regiones con más organizaciones afectadas en los datos que analizó.

Qué hizo el atacante

k0t no elige víctimas por su rubro. Busca a escala equipos expuestos a internet con servicios como FOFA, ZoomEye y Censys, y después prueba si son vulnerables o tienen contraseñas débiles. Según Group-IB, apuntó a tres productos muy usados en las empresas de la región.

• Firewalls FortiGate de Fortinet, con ataques de fuerza bruta a las contraseñas y el abuso de una clave de cifrado que el fabricante trae por defecto (CVE-2019-6693).
• FortiWeb, el firewall de aplicaciones web de Fortinet, con la falla CVE-2025-64446, que permite a un atacante sin credenciales ejecutar comandos de administrador.
• Los portales GlobalProtect de Palo Alto, con la falla CVE-2026-0257, que permite saltear la autenticación y abrir una conexión VPN sin permiso.

Una vez adentro, el operador buscó llegar al control total del dominio de la empresa, robó más credenciales e instaló programas de administración remota para no perder el acceso. Group-IB encontró su servidor de control con 84 equipos comprometidos en 28 grupos, uno por organización, y rastros de otros 100 grupos ya borrados. También sacó datos con herramientas de copia a la nube.

La región en los datos

El informe aclara que no pudo verificar a todas las víctimas, y que los dominios únicos que encontró son un piso del total real. De esos dominios, "las regiones de Asia Pacífico y Latinoamérica concentran la mayor proporción", escribió Group-IB. Asia Pacífico suma el 37,6 %. Para Latinoamérica el informe no da porcentaje ni nombra países.

La empresa advierte que esa distribución "no debe interpretarse como prueba de un ataque dirigido a una región", porque puede reflejar dónde hay más equipos expuestos o mal configurados que aparecen en los buscadores públicos. El propio k0t dijo en foros que sus prioridades son Estados Unidos y Canadá, después Europa y algunos mercados de Asia.

La cifra de 70.000 incluye credenciales de equipos de red y volcados de directorios corporativos. Eso no significa que todas fueran válidas ni que cada organización de la lista haya sufrido una intrusión, aclaró Cyberpress.

Ransomware en el horizonte

Varias víctimas aparecieron después en los sitios de filtración de los grupos de ransomware Qilin y The Gentlemen. Group-IB cree que k0t podría trabajar como intermediario que vende accesos a esos grupos, pero aclara que la relación todavía no está confirmada.

Qué hacer si administrás estos equipos

Las tres fallas tienen arreglo del fabricante y figuran en el catálogo de vulnerabilidades explotadas de la CISA. Si tu FortiWeb o tu PAN-OS no están actualizados, hay que asumir que pudieron ser atacados.

• Actualizar FortiWeb a las versiones corregidas que indica el aviso de Fortinet (8.0.2, 7.6.5, 7.4.10, 7.2.12 o 7.0.12 y posteriores).
• Actualizar PAN-OS según el aviso de Palo Alto. Si no se puede, desactivar las cookies de autenticación de GlobalProtect.
• Sacar las consolas de administración de internet, cambiar las contraseñas por defecto y activar el segundo factor.
• En FortiGate, cifrar los secretos guardados con una clave propia. Si una configuración quedó expuesta, cambiar todas las credenciales que contiene, incluidas las cuentas que conectan con el directorio.
• Revisar si aparecieron programas de acceso remoto que nadie instaló, como MeshCentral, AnyDesk o Atera, y copias de datos hacia servicios en la nube.