Una campaña contra firewalls y VPN deja más de 70.000 credenciales expuestas

Los investigadores de Group-IB y NyxLab han descrito una campaña a gran escala contra dispositivos de borde (firewalls y VPN) accesibles desde internet. El responsable, un actor conocido como k0t, se asocia con los grupos de ransomware Qilin y The Gentlemen, aunque no está claro si trabaja como intermediario de acceso o como afiliado. La información se publicó el 23 de octubre, y la actividad de k0t se detectó por primera vez en octubre de 2025.

Cómo actuaban

Buscaban dispositivos VPN y firewall expuestos y entraban explotando fallos conocidos o probando combinaciones habituales de usuario y contraseña. Los fallos citados afectan a Fortinet (FortiGate y FortiWeb) y a Palo Alto Networks (GlobalProtect, PAN-OS y Prisma Access). Dentro de la red, exploraban el Active Directory, dejaban herramientas legítimas de acceso remoto para mantener la puerta abierta y sacaban los datos con Rclone hacia servicios de almacenamiento en la nube.

El informe cifra en más de 70.000 las credenciales expuestas, asociadas a equipos de red y volcados de LDAP. Por regiones, las víctimas se reparten en torno a un 38 % en Asia-Pacífico, un 32 % en Latinoamérica, un 16 % en Europa y un 13 % en Oriente Medio y norte de África; gran parte de los compromisos son de febrero a junio de 2026.

Qué revisar en tu empresa

• Actualiza el firmware de tus firewalls y VPN y consulta los avisos del fabricante.
• Activa la verificación en dos pasos en los accesos remotos y evita contraseñas simples o repetidas.
• No expongas a internet paneles de administración que no hagan falta.
• Revisa qué herramientas de acceso remoto hay instaladas en los equipos y quita las que no reconozcas.