Le 21 octobre 2026, Group-IB et NyxLab ont publié une enquête sur une campagne d’accès initial visant les équipements de bordure exposés, attribuée à un acteur nommé k0t et associée à plus de 70 000 identifiants exposés. Cette analyse s’adresse aux auditeurs, RSSI et responsables sécurité : mode opératoire, correspondance avec MITRE ATT&CK, détection, questions d’audit ISO 27001 et pistes de sensibilisation. Elle repose sur le rapport des chercheurs, fondé sur l’outillage de l’attaquant retrouvé exposé : la manière dont les victimes ont détecté les intrusions et leur nombre exact ne sont pas documentés.
Pour une lecture orientée dirigeant, voir notre décryptage « Pare-feu piratés à la chaîne : quand le boîtier de sécurité livre les mots de passe de l’entreprise ».
Contexte
- Source : enquête conjointe Group-IB et NyxLab du 21 octobre 2026, fondée sur l’outillage et les données opérationnelles de l’attaquant ; un rapport technique plus détaillé est annoncé (Group-IB, 21 octobre 2026). Synthèse : The Hacker News, 23 octobre 2026.
- Acteur : k0t, cybercriminel actif depuis octobre 2025 selon Group-IB. Probable courtier en accès initiaux ou affilié : de nombreuses victimes ont ensuite été revendiquées par Qilin et The Gentlemen. Les chercheurs précisent que la nature de ce lien n’est pas confirmée.
- Victimes : tous secteurs, aucune nommée. Répartition des domaines identifiés : environ 38 % Asie-Pacifique, 32 % Amérique latine, 16 % Europe, 13 % Moyen-Orient et Afrique du Nord. Selon les chercheurs, cette répartition reflète celle des équipements exposés et mal configurés plutôt qu’un ciblage géographique, et le nombre de domaines est un minimum.
- Période et parenté : nombreuses compromissions FortiGate entre février et juin 2026, période qui recoupe la campagne FortiBleed. Le recoupement des identifiants avec ceux de FortiBleed est jugé négligeable : les chercheurs y voient un jeu de données distinct, possiblement lié à la même mouvance, avec une confiance modérée.
Mode opératoire : ce qui est documenté et ce qui ne l’est pas
| Étape | Ce qui est rapporté | Correspondance MITRE ATT&CK (notre lecture) |
|---|---|---|
| Reconnaissance | Recensement des pare-feu et VPN exposés via des moteurs de recherche d’équipements connectés, tri par produit, constitution de listes de cibles | T1596.005 Search Open Technical Databases: Scan Databases ; T1595 Active Scanning |
| Accès initial (failles) | Exploitation de CVE-2025-64446 (FortiWeb) et de CVE-2026-0257 (PAN-OS et Prisma Access, configurations GlobalProtect vulnérables) au moyen de scripts dédiés | T1190 Exploit Public-Facing Application |
| Accès initial (comptes) | Sur FortiGate, non vulnérable à ces exploits : force brute sur l’interface d’administration avec des combinaisons courantes ; sur FortiWeb, création d’un compte administrateur sans restriction d’origine | T1110 Brute Force ; T1136 Create Account |
| Point d’appui | Connexion au réseau interne par un client VPN compatible | T1133 External Remote Services ; T1078 Valid Accounts |
| Découverte | Inventaire de l’annuaire, des contrôleurs de domaine, des partages SMB et de l’antivirus installé | T1087.002 Domain Account ; T1018 Remote System Discovery ; T1135 Network Share Discovery ; T1518.001 Security Software Discovery |
| Accès aux identifiants et élévation | Extraction de secrets locaux et de l’annuaire avec des outils publics d’audit ; élévation vers les droits d’administrateur de domaine via CVE-2021-42278 et CVE-2021-42287 ; secrets de liaison LDAP présents dans les configurations d’équipements | T1003.001, T1003.004, T1003.006 OS Credential Dumping ; T1068 Exploitation for Privilege Escalation ; T1552 Unsecured Credentials |
| Persistance | Outils de télémaintenance du commerce et cadre open source de commande et contrôle, en plus de l’accès VPN | T1219 Remote Access Tools ; T1105 Ingress Tool Transfer |
| Exfiltration | Outil de synchronisation vers des espaces de stockage en ligne loués par l’attaquant | T1567.002 Exfiltration to Cloud Storage ; T1583.006 Web Services |
| Détection par les victimes | Non documentée | Non déterminable |
Faits techniques connus sur les failles exploitées
CVE-2025-64446 est une traversée de répertoire sur Fortinet FortiWeb, exploitée depuis novembre 2025, qui permet de créer un compte administrateur. CVE-2026-0257 est un contournement d’authentification sur Palo Alto PAN-OS et Prisma Access, déjà exploité par les rançongiciels Qilin et INC (notre bulletin du 21 octobre 2026). CVE-2021-42278 et CVE-2021-42287 sont deux failles Active Directory corrigées en novembre 2021, dont la combinaison permet à un compte standard de devenir administrateur du domaine : leur exploitation en 2026 indique des contrôleurs de domaine non corrigés depuis près de cinq ans chez au moins une partie des victimes.
Ce qu’on ne sait pas
- Le nombre d’organisations réellement compromises, au-delà du minimum de domaines identifiés.
- La part des victimes en France.
- La part de chaque vecteur d’entrée (failles ou force brute).
- Le délai entre l’accès initial et le passage de relais éventuel aux groupes de rançongiciel.
Détection : ce qui reste observable
Les chercheurs soulignent deux difficultés : l’intrusion commence sur un équipement où aucun EDR n’est installé, et la suite utilise le VPN normal et des outils légitimes, qui ressemblent à de l’administration autorisée. La détection passe donc par la corrélation des journaux du pare-feu, du VPN, de l’annuaire et des postes. Signaux accessibles, d’après leurs recommandations :
- rafales d’échecs de connexion sur l’interface d’administration ou le VPN, et verrouillages de comptes ;
- création d’un compte administrateur sur un équipement de sécurité ;
- demandes Kerberos inhabituelles pour des comptes de service, authentifications anormales sur les contrôleurs de domaine ;
- outil de télémaintenance ou agent de commande à distance sans propriétaire ni justification métier ;
- transferts importants vers un stockage en ligne, précédés d’une exploration large des partages.
Point clé de réponse à incident : la compromission d’un pare-feu doit être traitée comme une compromission d’identifiants de l’entreprise. Les comptes de liaison LDAP et Active Directory référencés dans la configuration, souvent exclus des rotations et de la double authentification, doivent être renouvelés, et les sessions actives révoquées.
Questions d’audit ISO 27001:2022
- A.8.8 et A.8.20 (gestion des vulnérabilités techniques, sécurité des réseaux) : « Montrez-moi l’inventaire de vos équipements exposés à Internet (pare-feu, WAF, VPN) avec leur version, et la preuve que les interfaces d’administration ne sont pas joignables depuis Internet. Comment savez-vous ce qu’un moteur de recherche public voit de votre périmètre ? »
- A.5.17 et A.8.5 (informations d’authentification, authentification sécurisée) : « Les comptes d’administration des équipements et l’accès VPN exigent-ils un second facteur ? Quel est le seuil de verrouillage après échecs, qui est alerté ? Montrez-moi la preuve que les mots de passe par défaut ont été changés. »
- A.5.17, A.8.2 et A.8.18 (informations d’authentification, droits d’accès privilégiés, utilisation de programmes utilitaires à privilèges) : « Quels comptes de l’annuaire sont référencés dans la configuration de vos équipements de sécurité ? Quels droits ont-ils, quand leur mot de passe a-t-il été changé, et votre procédure d’incident prévoit-elle leur renouvellement en cas de compromission de l’équipement ? »
- A.8.16, A.5.25 et A.8.8 (activités de surveillance, appréciation des événements, vulnérabilités) : « Les journaux du pare-feu et du VPN sont-ils exportés et corrélés avec ceux de l’annuaire ? Montrez-moi la dernière alerte sur une création de compte administrateur ou un outil de télémaintenance non référencé. Vos contrôleurs de domaine ont-ils reçu les correctifs de novembre 2021 ? »
Pistes de sensibilisation
- Pour les équipes IT et les infogérants : atelier « Ce que notre pare-feu sait de nous ». Ouvrir ensemble la configuration d’un équipement (en environnement de test ou avec l’accord du responsable), lister les comptes et secrets qu’il contient, et rédiger la liste des mots de passe à changer si ce boîtier tombait. Support : la fiche « Pourquoi et comment bien gérer ses mots de passe ? » de Cybermalveillance.gouv.fr.
- Pour les dirigeants : « Vous n’êtes pas trop petit pour être scanné ». Dix minutes pour montrer que la sélection se fait par marque d’équipement et non par taille d’entreprise, puis poser trois questions au prestataire : version, second facteur, accès d’administration. Support : « Pourquoi et comment bien gérer ses mises à jour ? » de Cybermalveillance.gouv.fr.
À lire aussi : notre décryptage pour les dirigeants, « Pare-feu piratés à la chaîne : quand le boîtier de sécurité livre les mots de passe de l’entreprise », et le bulletin de veille du 24 octobre 2026.
Analyse préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.