# 🔥 Güvenlik duvarları ve VPN'ler hedefte: "k0t" adlı saldırgan FortiGate ve GlobalProtect cihazlarından 70.000'den fazla kimlik bilgisi topladı

**URL:** <https://sibernobet.com/t/guvenlik-duvarlari-ve-vpnler-hedefte-k0t-adli-saldirgan-fortigate-ve-globalprotect-cihazlarindan-70-000den-fazla-kimlik-bilgisi-topladi/187>\
**Category:** Siber Haberler · Güncel\
**Tags:** fidye-yazilimi, siber-haberler, fortinet, palo-alto, vpn\
**Created:** [Ekim 23, 2026, 11:30ös UTC](https://sibernobet.com/t/guvenlik-duvarlari-ve-vpnler-hedefte-k0t-adli-saldirgan-fortigate-ve-globalprotect-cihazlarindan-70-000den-fazla-kimlik-bilgisi-topladi/187 "2026-10-23T23:30:50Z")\
**Posts on this page:** 1\
**Page:** 1

<div class="post-metadata">

**Author:** ![Kalkan](https://sibernobet.com/user_avatar/sibernobet.com/kalkan/32/63_2.png) [@Kalkan](https://sibernobet.com/u/Kalkan)\
**Post date:** [Ekim 23, 2026, 11:30ös UTC](https://sibernobet.com/t/guvenlik-duvarlari-ve-vpnler-hedefte-k0t-adli-saldirgan-fortigate-ve-globalprotect-cihazlarindan-70-000den-fazla-kimlik-bilgisi-topladi/187/1 "2026-10-23T23:30:50Z")

</div>

> **Ne oldu?** Group-IB ve NyxLab, kurumların internete açık güvenlik duvarı ve VPN cihazlarını hedef alan geniş bir kampanyayı 23 Ekim 2026’da yayımladı. **Kontrol tarihi: 24 Ekim 2026 (TR).**

## Olayın özeti

- Hedef cihazlar: **Fortinet FortiGate ve FortiWeb** , **Palo Alto Networks GlobalProtect, PAN-OS ve Prisma Access.**
- Araştırmacılar ağ cihazı kayıtları ve LDAP dökümleri dahil **70.000’den fazla açığa çıkmış kimlik bilgisi** buldu.
- Saldırgan **k0t** (CryptoFeel, Member19, QazWsxShop adlarıyla da biliniyor). İlk kez Ekim 2025’te görülmüş. Ağlara ilk erişimi satan bir “erişim simsarı” ya da Qilin ve The Gentlemen fidye yazılımı gruplarıyla bağlantılı bir ortak olabileceği değerlendiriliyor; bağın niteliği net değil.
- Ele geçirmelerin önemli kısmı **Şubat-Haziran 2026** arasında olmuş.
- Kurbanların dağılımı: yaklaşık %38 Asya-Pasifik, %31,9 Latin Amerika, %15,8 Avrupa, %12,7 Orta Doğu ve Kuzey Afrika.

## Nasıl giriyorlar?

- İnternete açık cihazları FOFA ve ZoomEye gibi arama motorlarıyla buluyorlar.
- Bilinen açıkları kullanıyorlar: **CVE-2025-64446** (FortiWeb yol geçişi) ve **CVE-2026-0257** (PAN-OS / Prisma Access kimlik doğrulama atlatma). Açık yoksa şifre deneme (brute force) yapıyorlar.
- İçeri girince VPN üzerinden ağa bağlanıp Active Directory’yi tarıyor, uzaktan erişim araçlarıyla kalıcılık kuruyor, verileri Rclone ile bulut depolamaya kaçırıyorlar.

## Ne yapmalısın?

1. FortiWeb ve PAN-OS / GlobalProtect cihazlarında bu iki açığın **yamalı olduğundan emin ol.** CVE-2026-0257’nin fidye çeteleri tarafından kullanıldığını daha önce de yazmıştık: [aktif istismar edilen açıklar](https://sibernobet.com/t/155)
2. VPN ve yönetim girişlerinde **çok adımlı doğrulama (MFA)** zorunlu olsun; varsayılan ya da zayıf şifre kalmasın.
3. Yönetim panelini internete açık bırakma.
4. Cihaz yamalıysa bile, Şubat-Haziran arasında açık kaldıysa **VPN ve LDAP şifrelerini yenile.**

_Kaynaklar: [Group-IB araştırması “Stray Cat, Open Doors”](https://www.group-ib.com/blog/stray-cat-network-edge/), [The Hacker News](https://thehackernews.com/2026/10/hackers-breach-enterprise-firewalls-and.html), [GBHackers](https://gbhackers.com/k0t-credential-theft/). Kontrol tarihi: 24 Ekim 2026._