Ir al contenido

VPN para empresas: el equipo de acceso remoto se ha convertido en la puerta de entrada preferida de los atacantes

Fallos de VPN explotados incluso antes de corregirse: lo que una pyme debe revisar en su acceso remoto.
10 de noviembre de 2026 por
VPN para empresas: el equipo de acceso remoto se ha convertido en la puerta de entrada preferida de los atacantes

El 14 de julio de 2026, SonicWall publicó de urgencia los parches de dos fallos de sus equipos de acceso remoto SMA 1000, que ya estaban siendo explotados, y la agencia estadounidense de ciberseguridad (CISA) dio tres días a las administraciones federales para corregirlos. No es un caso aislado: la VPN para empresas, el equipo que permite trabajar a distancia, se ha convertido en una de las principales puertas de entrada de los ataques. Su acceso remoto no es un riesgo en sí mismo; lo es cuando queda expuesto a todo Internet, sin actualizar o protegido solo por una contraseña.

Lo esencial

  • Según el informe de Verizon publicado el 19 de mayo de 2026, la explotación de vulnerabilidades se ha convertido en la primera vía de entrada de las filtraciones de datos: el 31 % de los casos, frente al 13 % de las credenciales robadas.
  • En las pymes afectadas por un ransomware, Verizon señala como causa credenciales comprometidas (38 %) o vulnerabilidades sin corregir en equipos del perímetro de la red (29 %), la familia a la que pertenecen las VPN y los cortafuegos.
  • En 2026, fallos de VPN de SonicWall y de Palo Alto Networks se explotaron antes o poco después de la publicación de los parches; el segundo sirvió para desplegar el ransomware Qilin.
  • Solo el 26 % de las vulnerabilidades que se sabe que están siendo explotadas fueron corregidas por completo por las organizaciones en 2025, con un plazo mediano de 43 días.
  • Lo que protege: exponer menos, corregir rápido, exigir una autenticación fuerte y leer los registros de conexión.

Qué está pasando

El 14 de julio de 2026, SonicWall publicó el aviso SNWLID-2026-0008. Trata de dos fallos de sus equipos de acceso remoto SMA 1000: el primero, calificado de crítico, permite a un atacante no autenticado hacer que el equipo envíe peticiones que no debería enviar; el segundo permite ejecutar comandos en el sistema. Ese mismo día, la CISA los incluyó en su catálogo de vulnerabilidades explotadas activamente, con un plazo hasta el 17 de julio para las administraciones federales estadounidenses, y les exigió además buscar rastros de compromiso. Hoy ese catálogo indica su uso en campañas de ransomware.

Fue el equipo de detección de Rapid7 quien observó los ataques, incluso antes de la publicación del aviso. Su informe del 15 de julio describe lo que siguió: los atacantes obtuvieron credenciales, la base de sesiones activas y los secretos que generan los códigos de doble autenticación de los usuarios, lo suficiente para mantener un acceso duradero incluso después de una limpieza. Después se autenticaron directamente en el directorio de la empresa, desde el propio equipo. Para Rapid7, el aparato que debía filtrar los accesos se había convertido en una puerta trasera sin vigilancia hacia el corazón de la red.

Dos meses antes, el 13 de mayo de 2026, Palo Alto Networks publicó un aviso sobre un fallo de su VPN GlobalProtect: una omisión de la autenticación que permitía abrir una conexión VPN sin autorización, en determinadas configuraciones. La CISA lo añadió a su catálogo el 29 de mayo. El 20 de julio, los investigadores de Arctic Wolf describieron varias intrusiones ocurridas en junio de 2026 que empezaban todas por este fallo en el cortafuegos y terminaban con el cifrado de los datos por el ransomware Qilin. Entre ambos momentos: robo de credenciales, saltos de una máquina a otra, exfiltración de datos y, en algunos casos, ataques a los servidores de copias de seguridad.

Estos casos ilustran una tendencia medida. El Data Breach Investigations Report 2026 de Verizon, publicado el 19 de mayo de 2026, constata que la explotación de vulnerabilidades se ha convertido en la primera vía de entrada de las filtraciones de datos, con el 31 % de los casos, por primera vez en diecinueve años de informes. Entre los accesos a redes de empresas puestos a la venta por revendedores especializados, el 44 % eran accesos VPN. Y el ritmo de corrección se frena: solo el 26 % de las vulnerabilidades del catálogo de la CISA se corrigieron por completo en 2025, frente al 38 % un año antes, y el plazo mediano pasó de 32 a 43 días.

Qué cambia para usted: la VPN para empresas, en primera línea

Una VPN tiene una particularidad incómoda: debe ser accesible desde Internet, por diseño, porque esa es su función. Por tanto, es visible para todos, en todo momento, y quien busca equipos vulnerables la encuentra sin esfuerzo. Una vez superada, ofrece al atacante la misma confianza que a un empleado conectado desde su casa.

Ser una empresa pequeña no protege. Verizon señala que estos ataques son en su mayoría oportunistas: los atacantes buscan equipos vulnerables, no una empresa en particular. Entre las víctimas de ransomware cuyo tamaño se conocía, alrededor del 96 % eran pymes.

En muchas pymes, el equipo VPN lo instaló hace años un proveedor, y nadie sabe realmente quién debe aplicar sus actualizaciones ni quién recibe las alertas de seguridad del fabricante. Es precisamente ese desfase lo que aprovechan los atacantes: el fallo se publica, el parche existe, pero el equipo no se actualiza.

Por último, cuando un fallo se ha explotado antes de corregirse, instalar el parche ya no basta. El caso de SonicWall lo demuestra: un atacante que ha copiado las contraseñas y los secretos de doble autenticación puede volver a entrar por la puerta principal. Hay que renovar esos secretos y revisar los registros. Y si el ataque llega hasta el ransomware, la calidad de sus copias de seguridad decide lo que viene después, un tema que traté en el artículo sobre las copias de seguridad frente al ransomware.

Lo que aprendí

A finales de agosto de 2026, un escaneo automático de mi servidor, en busca de páginas conocidas por ser vulnerables, disparó una alerta. No tuvo ningún impacto, pero me llevó a retomar una pregunta sencilla: ¿qué de lo mío es visible desde Internet, y por qué? En septiembre de 2026 coloqué la administración de mi sistema de gestión, el que lleva la contabilidad, los sitios web y las citas de mis empresas, detrás de una VPN moderna que administro yo mismo. Lo que sigue siendo público se limita a lo que necesitan mis visitantes y mis clientes: los sitios y el área de clientes. La administración del servidor pasa por el mismo camino, con claves en lugar de contraseñas. Es el mismo principio que en el portal de administración de mis servidores, accesible solo por VPN.

Este refuerzo me enseñó tres cosas, que tienen en común no producir ningún mensaje de error.

Primero, se puede cerrar demasiado. La página de inicio de sesión que usan mis clientes para entrar en su área debe seguir siendo pública: confundirla con la administración habría cortado un servicio real. Hay que separar lo que hacen los clientes de lo que hace el administrador, y cerrar solo lo segundo.

Segundo, una protección depende de lo que ve. El bloqueo automático de las direcciones que insisten se basa en los registros de conexión. Si esos registros dejan de escribirse, la protección se queda ciega sin avisar. Por eso hay que comprobar, de vez en cuando, que sigue viendo pasar algo.

Tercero, un cambio anunciado como aplicado no siempre lo está. Una modificación de configuración puede aceptarse sin error y no entrar nunca en vigor. Después de cada cambio, hay que comprobar el resultado desde fuera, como lo vería un atacante, en lugar de fiarse del mensaje de confirmación.

La VPN se convierte entonces en el punto de paso más importante de la instalación. Debe mantenerse actualizada, aceptar solo claves, registrar sus conexiones y modificarse con cuidado: un error en ese punto de paso puede dejar al propio administrador fuera de sus servidores.

Qué hacer en concreto

1. Hacer el inventario de lo que está expuesto

Enumere todo lo que es accesible desde Internet: VPN, cortafuegos, acceso al escritorio remoto, interfaces de administración de sus programas. Para cada equipo, anote el modelo, la versión y, sobre todo, el nombre de la persona responsable de sus actualizaciones.

2. Retirar de Internet lo que no tiene por qué estar ahí

Una interfaz de administración no necesita ser pública: colóquela detrás de la VPN. No exponga nunca directamente un acceso al escritorio remoto. Lo que no se ve no puede ser atacado por un escaneo automático.

3. Corregir en días, no en semanas

Suscríbase a las alertas de seguridad del fabricante de su VPN y consulte el catálogo de vulnerabilidades explotadas de la CISA. Cuando aparece un fallo de su equipo, la corrección se vuelve urgente. Prevea la sustitución de los equipos que ya no reciben actualizaciones.

4. Exigir una autenticación fuerte

Una contraseña sola no basta para entrar en su red. Active la doble autenticación en la VPN, si es posible con un método resistente al phishing (llave física, certificado), y elimine las cuentas que no se usan.

5. Registrar y mirar

Conserve los registros de conexión de la VPN fuera del equipo, para que un atacante no pueda borrarlos. Configure alertas ante conexiones inusuales: de madrugada, desde otro país, desde una máquina desconocida. Compruebe de vez en cuando que esos registros se siguen escribiendo.

6. Prepararse para el día en que se explote un fallo

Si su equipo aparece en una alerta de explotación activa, aplique el parche, renueve después las contraseñas y los secretos de doble autenticación, y examine los registros. Y asegúrese de que sus copias de seguridad quedan fuera del alcance de un atacante que haya cruzado la VPN.

Preguntas frecuentes

¿Nuestra VPN es un riesgo si somos una empresa pequeña?

Sí, tanto como en cualquier otra. Los atacantes recorren Internet en busca de equipos vulnerables sin fijarse en el tamaño de la empresa que hay detrás. En cambio, una VPN actualizada, protegida con doble autenticación y vigilada sigue siendo una buena forma de trabajar a distancia.

¿Hay que sustituir nuestro equipo VPN?

No necesariamente. Un equipo que su fabricante sigue manteniendo, actualizado con rapidez y protegido con una autenticación fuerte puede seguir en su sitio. La sustitución se impone cuando el equipo ya no tiene soporte, o cuando nadie es capaz de mantenerlo al día.

¿Basta la VPN para proteger el acceso a nuestros programas?

No. Reduce lo que está expuesto, pero una vez conectado, un usuario o un atacante llega a todo lo que la red le permite. También hay que limitar lo que cada cuenta puede alcanzar, proteger las cuentas de administración y conservar copias de seguridad fuera de línea.

Para ir más lejos

Diseño y opero infraestructuras para pymes, acceso remoto incluido: vea la página Sistemas e infraestructura. Si quiere saber qué expone su empresa a Internet y cómo reducirlo, hablemos en una llamada de 20 minutos.

Fuentes

Foto: Manuel Luikenga / Unsplash (unsplash.com/photos/y4GHs9GEFdM).

Etiquetas: VPN, acceso remoto, ciberseguridad, pymes, ransomware, actualizaciones, infraestructura

CTO fraccional: ¿la respuesta para las pymes sin departamento de informática?
Los ataques tienen éxito menos por fallos técnicos que por falta de dirección: lo que aporta un director de informática a tiempo parcial, y lo que no hace.