kOt 해킹, 계정 7만 개 유출과 랜섬웨어 위협

Group-IB와 NyxLab은 사이버 위협 그룹 k0t의 공격과 관련된 7만 개 이상의 네트워크 계정 정보를 발견했습니다. 하지만 해커들은 계정 정보만 훔친 것이 아닙니다. 기업 네트워크에 백도어를 심어 랜섬웨어 그룹이 회사 시스템에 침투할 수 있는 새로운 기회를 제공했습니다.

자격증은 단지 시작점에 불과했습니다.

연구진은 공격자들이 사용한 몇 가지 방법을 발견했는데, 여기에는 FortiGate 장치의 비밀번호 악용, FortiWeb에 영향을 미치는 CVE-2025-64446 취약점 악용, 그리고 취약한 Palo Alto GlobalProtect 게이트웨이에 대한 CVE-2026-0257 취약점 사용 등이 포함됩니다. 이러한 장치들은 기업 네트워크를 보호하고 원격으로 네트워크에 접근할 수 있도록 해주기 때문에 기업 시스템에 침입하려는 공격자들에게 매력적인 표적이 됩니다.

도난당한 데이터에는 LDAP 디렉터리 덤프가 포함되어 있었습니다. 공격자들은 시스템에 침입한 후 OpenConnect VPN 연결, 원격 관리 애플리케이션 및 AdaptixC2를 사용하여 접근 권한을 유지했습니다. 일부 피해자는 데이터 도난 피해도 입었습니다. FortiGate 침해 사례는 2026년 2월부터 6월 사이에 집중적으로 발생했습니다.

이후, Qilin과 The Gentlemen으로 알려진 랜섬웨어 그룹의 유출 페이지에 여러 피해자가 나타났습니다. 이는 k0t가 해킹된 네트워크에 접근하여 이득을 취하고 있을 가능성을 시사하지만, 연구진은 아직 이러한 연관성을 확인하지 못했습니다.

또한, 해당 캠페인은 아시아 태평양 지역에서 성공을 거두었으며, 관찰된 전체 고유 도메인의 37.6%가 이 지역에서 발생했습니다. 그러나 연구진은 이는 단순히 아시아에서 활성화된 기기의 수를 나타내는 것일 뿐, 아시아 지역을 특별히 겨냥한 캠페인이었다는 것을 의미하지는 않는다고 강조했습니다.

FortiBleed는 별개의 문제이며, 여전히 해결되지 않은 상태입니다.

2026년 10월 6일,

FBI와 비밀경호국은 FortiBleed가 여전히 FortiGate 방화벽과 SSL VPN 게이트웨이에 위협이 된다고 경고하는 공지를 발표했습니다. 공격자들은 이전에 확보한 계정 정보를 이용해 GPU 기반 시스템을 활용해 암호 해시를 해독하고 새로운 관리자 계정을 생성했습니다. 때로는 피해자들이 자신의 기기에 접근하지 못하도록 차단하기도 했습니다.
FortiBleed 공격이 전 세계로 확산되었습니다.
SOCRadar는 194개국에서 86,644대 이상의 기기가 감염된 것을 확인했습니다.

포티넷은 공격자들이 탈취한 로그인 정보를 재사용하고 비밀번호를 추측하려 했다고 밝혔습니다. 이번 공격은 새로 공개된 포티넷의 취약점과는 관련이 없습니다.

Group-IB는 FortiBleed와 k0t의 탈취 데이터 사이에 중복되는 부분이 거의 없다는 것을 발견 했지만 , 두 사건 간의 연관성을 완전히 배제하지는 않았습니다. 현재까지 동일한 공격자가 두 사건을 저질렀다는 증거는 없습니다. 또한 두 수치는 서로 다른 것을 나타냅니다.
k0t의 경우 7만 개의 계정 정보가 탈취된 반면, FortiBleed는 86,644대의 기기가 탈취되었습니다. 이 수치를 합산하면 사건의 전체 규모를 왜곡하게 됩니다.

최초 접속부터 랜섬웨어 감염까지 22초 소요

Verizon의

2026년 데이터 침해 조사 보고서에 따르면 취약점 악용이 전체 침해의 31%를 차지하며, 계정 정보 도용을 제치고 주요 침입 경로로 떠올랐습니다. 그러나 심각한 것으로 알려진 악용된 취약점 중 단 26%만이 완전히 해결되었으며, 해결에 소요되는 평균 시간은 43일에 달했습니다.이러한 지연은 공격자가 패치가 나오기 전에 취약점을 악용할 수 있다는 점에서 특히 우려스럽습니다.

Mandiant의 M-Trends 2026은 취약점 악용까지 걸리는 평균 시간을 마이너스 7일로 추정했는데, 이는 공격이 수정 패치가 배포되기 전에 시작되는 경우가 많다는 것을 의미합니다. VPN 게이트웨이 및 라우터와 같은 네트워크 장치는 표준 엔드포인트 보안 도구가 부족한 경우가 많아 모니터링하기가 특히 어렵습니다.

일단 공격자가 접근 권한을 확보하면 위협은 빠르게 확산될 수 있습니다. 맨디언트의 조사에 따르면 최초 침입부터 다른 범죄 조직으로의 인계까지 걸리는 평균 시간이 2022년 8시간 이상에서 2025년에는 단 22초로 단축될 것으로 예상됩니다.이미 위협은 명백합니다. 10월 19일 업데이트에서

Unit 42는 Qilin 및 Inc 랜섬웨어 운영자들이 CVE-2026-0257 취약점을 악용하려 시도했다고 보고했습니다. 또한 Settra와 관련된 별도의 보고도 언급했습니다. 그러나 초기 조사에서는 공격자들이 감염된 네트워크 깊숙이 침투했다는 증거는 발견되지 않았습니다.

금융 및 암호화폐 인프라에 미치는 영향은 무엇일까요?

IBM 조사에 따르면 보고된 AI 기반 공격의 62%가 중요 인프라를 표적으로 삼았습니다. 금융 서비스 침해로 인한 평균 손실액은 630만 달러에 달합니다.

IMF는 10월에 금융 네트워크의 상호 연결성이 높아짐에 따라 사이버 위협이 시스템적인 문제로 발전할 수 있다고 경고했습니다. 암호화폐 기업들도 접근 권한 탈취로 인한 유사한 위험에 직면해 있습니다.

주요 대응 및 변경 사항 3가지

1. 조직들이 자체 방화벽에 접근하지 못하게 되는 상황이 발생하고 있습니다.

이것이 영향의 주요 변화입니다. 공격자는 지속성을 위해 새로운 관리자 계정을 생성하는 것 외에도( T1136.001 ), 경우에 따라 기존 계정의 암호를 삭제하거나 변경합니다( T1531 , 계정 접근 권한 제거). 이로 인해 방어자는 공격자가 제어권을 유지하고 내부적으로 공격을 전개하는 동안 자신의 FortiGate 장치에 접근할 수 없게 될 수 있습니다.

이제 복구에는 표준 패치 및 암호 재설정을 넘어선 추가적인 조치가 필요합니다. 만약 운영 지침서에서 자격 증명 재설정을 통해 정상적인 상태로 복원된다고 가정한다면, 계정 잠금 상황에서 복구가 실패할 수 있습니다. 문제가 발생하기 전에 엣지 디바이스에 대한 대역 외 관리자 복구 기능을 확보해 두십시오.

2. 하위 랜섬웨어 공격 범위가 넓어지고 있습니다.

FortiBleed 접근 권한은 INC/Lynx 에 제공되었으며 , 이전 보도에서는 이 랜섬웨어가 이번 캠페인과 직접적으로 연관되어 있다고 밝혔습니다.
현재 발표된 권고 사항에는 하위 계열 랜섬웨어로 INC/Lynx와 Payload 랜섬웨어가 포함되어 있습니다 .
핵심 문구는 “현재 포함되는”입니다.
이는 초기 접근 브로커(IAB) 공급망이므로 랜섬 웨어 고객 목록 은 시간 이 지남에 따라 증가합니다. 오늘 확보한 접근 권한은 몇 주 후 FortiBleed와 아직 연결되지 않은 다른 브랜드로 암호화 공격으로 다시 나타날 수 있습니다. FortiBleed 감염이 확인된 경우, 이는 하나의 랜섬웨어 공격이 아니라 여러 랜섬웨어 공격으로 이어질 수 있는 잠재적인 전조로 간주해야 합니다.

3. 캠페인은 진행 중입니다.

공격자들은 여전히 ​​인터넷에 노출된 Fortinet 방화벽을 스캔하고 이전에 확보한 자격 증명으로 인증을 시도하고 있습니다.
논의 중인 194개국 86,644대 이상의 침해 기기 규모는 확인된 침해 기기 수일 뿐, 실제 노출 규모를 추정한 수치는 아닙니다.
몇 달 전에 침해당한 기기들도 공격자들이 확인한 목록에 여전히 남아 있습니다.