Fortinet ve Palo Alto cihazlarından 70 bin kimlik bilgisi sızdı

Group-IB ve NyxLab'in 21 Ekim 2026'da yayımladığı ortak araştırma, kurumsal ağların dış kapısında duran güvenlik duvarı ve VPN cihazlarını hedef alan geniş çaplı bir kampanyayı ortaya koydu. Araştırmacıların "k0t" takma adıyla izlediği saldırgan, eriştiği cihazlardan 70 binden fazla kimlik bilgisini açığa çıkardı. Group-IB, bu saldırganın Qilin ve The Gentlemen fidye yazılımı gruplarıyla bağlantılı olduğunu, büyük olasılıkla onlara hazır ağ erişimi satan bir "ilk erişim brokeri" olarak çalıştığını değerlendiriyor.

Kampanyanın yöntemi üç ayaklı. FortiWeb cihazlarında CVE-2025-64446 numaralı dizin aşımı açığı kullanılarak yerel yönetici hesabı oluşturuluyor. FortiGate cihazlarında zayıf parolalar kaba kuvvetle deneniyor ve ele geçirilen yapılandırma dosyaları FortiOS'un varsayılan şifreleme anahtarıyla (CVE-2019-6693) çözülüyor. Palo Alto GlobalProtect tarafında ise CVE-2026-0257 numaralı kimlik doğrulama atlatma açığı, taklit edilmiş oturum çerezleriyle sömürülüyor. Group-IB'nin raporuna göre FortiGate ihlallerinin önemli bölümü Şubat–Haziran 2026 arasına tarihleniyor; yani pek çok kurum aylardır farkında olmadan açıkta.

Bu haberi diğer zafiyet haberlerinden ayıran nokta

Kritik nokta tek bir açığın kendisi değil, firewall yapılandırmasının aslında bir kimlik bilgisi deposu olduğu gerçeği. Bir yapılandırma dosyası dışarı sızdığında saldırganın eline yalnızca kural seti geçmiyor: VPN kullanıcı listeleri, LDAP bağlanma hesapları, yerel yönetici parolaları ve şubeler arası tünel anahtarları da aynı dosyanın içinde. Group-IB tam bu nedenle sızan her yapılandırmanın "kimlik bilgisi ifşası olayı" sayılması ve içindeki tüm parolaların değiştirilmesi gerektiğini söylüyor.

İkinci dikkat çekici nokta kalıcılık yöntemi. Saldırgan ağa girdikten sonra kendi zararlı yazılımını kurmak yerine meşru uzak erişim araçlarını kullanıyor: AnyDesk, Atera, Teramind, MeshCentral ve ngrok. Bu araçlar birçok kurumda BT ekibinin kendi envanterinde de bulunduğundan güvenlik yazılımları alarm üretmiyor, günlük kayıtlarında da olağan görünüyorlar. Verinin dışarı taşınmasında ise Rclone ile bulut depolama servisleri kullanılmış.

Türkiye ve KOBİ tarafındaki karşılığı

Raporun kurban dağılımında Asya-Pasifik tespit edilen alan adlarının %37,6'sı ile ilk sırada. Group-IB bu oranın bilinçli bir bölge seçiminden çok internete açık cihaz yoğunluğunu yansıttığını, sayının da alt sınır olduğunu vurguluyor. Türkiye raporda ayrı bir başlık değil, ancak risk profili birebir aynı: uzaktan çalışma ve şube bağlantısı için kurulmuş, yönetim arayüzü internete açık bırakılmış ve kurulduğu günden beri güncellenmemiş bir cihaz nerede olursa olsun aynı kapıdır.

İstanbul Anadolu Yakası'ndaki inşaat ofisleri, acente ve denizcilik firmaları, lojistik şirketleri, plaza ofisleri ve üretim tesislerinde sık gördüğümüz tablo şu: tek bir firewall hem internet çıkışını hem VPN'i hem de şube tünellerini taşıyor, cihazın güncelleme takvimi yok, yapılandırma yedeği de şifrelenmemiş bir klasörde duruyor. Bu kurulumda cihaz ele geçtiğinde kaybedilen şey bir cihaz değil, tüm ağın anahtarları oluyor.

Kamer Bilişim olarak ne öneriyoruz?

• Yönetim arayüzünü internetten kapatın. Firewall ve VPN cihazlarının web yönetim panelini yalnızca iç ağdan ya da güvenilir bir VPN üzerinden erişilebilir hale getirin. Dışarı açık kalması zorunluysa kaynak IP kısıtlaması tanımlayın, hesap kilitleme süresini uzatın ve tekrarlayan kilitlenmeleri inceleyin.
• Yapılandırma yedeklerini sızmış kabul edip parolaları döndürün. FortiGate kullanıyorsanız "private-data-encryption" ayarını etkinleştirin. Yapılandırmada geçen VPN kullanıcılarının, LDAP bağlanma hesaplarının ve yerel yönetici parolalarının değiştirilmesini planlayın; tüm yönetici ve VPN hesaplarında çok faktörlü doğrulamayı zorunlu hale getirin.
• Uzak erişim araçlarının envanterini çıkarın. Ağınızda hangi uzak destek aracının resmî olarak kullanıldığını yazılı olarak belirleyin; listede olmayan AnyDesk, Atera, MeshCentral veya ngrok kurulumlarını alarm konusu yapın. Raporda anlatılan kalıcılık yöntemini yakalamanın en pratik yolu budur.

Ağ altyapınızdaki güvenlik duvarı ve VPN kurulumunun bu üç başlık açısından gözden geçirilmesini isterseniz iletişim sayfamız üzerinden bize ulaşabilirsiniz. Cihaz envanteri, yazılım sürümleri ve internete açık servislerin listelenmesiyle başlayan kısa bir değerlendirme, bu tür kampanyalarda en çok işe yarayan ilk adımdır.

Kaynak: Group-IB & NyxLab, "Stray Cat, Open Doors: How k0t Wanders Through the Network Edge" (21 Ekim 2026); The Hacker News (23 Ekim 2026)