Skupina INC Ransomware se podle výzkumu bezpečnostní firmy Resecurity stala dominantním útočníkem zneužívajícím dvě kritické zranitelnosti ve VPN zařízeních SonicWall řady Secure Mobile Access (SMA) 1000. Chyby označené CVE-2026-15409 (CVSS 10) a CVE-2026-15410 (CVSS 7,2) umožňují neautentizovaným útočníkům otevřít WebSocket tunel k chráněným službám a eskalovat oprávnění až na root.
Útočníci zneužívali chyby jako zero-day od 22. června, tedy týdny předtím, než SonicWall v polovině července vydal opravy. Od té doby INC Ransomware svou kampaň zrychlil a do 2. srpna přidal na svůj únikový web další oběti -- celkový počet nahlášených obětí tak dosáhl 885, mezi zasaženými organizacemi jsou firmy z USA, Austrálie, SAE, Kolumbie a Švýcarska.
Útočníci kromě šifrování souborů získávají i přihlašovací údaje, aktivní relace a TOTP semínka pro vícefaktorové ověření -- což jim zajišťuje trvalý přístup hluboko v podnikových sítích i po změně hesel. Bezpečnostní týmy provozující zařízení SMA 1000 by měly okamžitě nainstalovat opravy a provést rotaci přihlašovacích údajů.