Group-IB и NyxLab обнаружили 84 скомпрометированных устройства, которые связывались с сервером удалённого управления кампании k0t. В отчёте от 21 октября исследователи описали, как атаки на сетевой периметр перерастали в закрепление внутри компаний и кражу данных. Устройства были распределены по 28 активным группам в панели управления; это наблюдаемый фрагмент кампании, а не полный подсчёт жертв.

Входом служили доступные из интернета FortiGate, FortiWeb и GlobalProtect. Операторы использовали подбор паролей и уязвимости, затем извлекали из конфигураций дополнительные секреты доступа. Такие данные могли открывать путь к корпоративным каталогам учётных записей. Установленные внутри сети программы удалённого администрирования позволяли сохранять контроль, а облачные хранилища использовались для вывоза файлов.

Исследователи выявили более 70 тысяч учётных данных, связанных с сетевыми устройствами и выгрузками каталогов. Это не число организаций или людей. Многие обнаруженные компрометации FortiGate относятся к февралю–июню 2026 года. Точный состав пострадавших по всему массиву установить не удалось.

Часть жертв позднее появилась на сайтах вымогателей Qilin и The Gentlemen. Авторы допускают продажу первоначального доступа другим преступникам, но прямую связь k0t с этими группами пока не подтвердили.