La empresa tenía “VPN”. Al menos eso creían. En realidad, tenían puertos RDP expuestos a internet, protocolos obsoletos sin cifrado moderno y cero autenticación de múltiple factor. Una VPN mal configurada no protege. Crea una ilusión de seguridad que puede ser más peligrosa que no tener nada.
El problema con el acceso remoto improvisado
Durante la pandemia de 2020, miles de empresas implementaron soluciones de acceso remoto en días o semanas, sin planificación de seguridad. El objetivo era funcional: que los empleados pudieran trabajar desde casa. La seguridad fue secundaria.
Cuatro años después, muchas de esas implementaciones improvisadas siguen activas, sin revisión, sin actualización, con las mismas configuraciones de emergencia de 2020. El mundo de amenazas cambió radicalmente. La infraestructura de acceso remoto no.
RDP expuesto: el vector favorito del ransomware
El Protocolo de Escritorio Remoto (RDP, puerto 3389) es la herramienta de acceso remoto más usada en entornos Windows. También es el vector de entrada más explotado por operadores de ransomware en los últimos cinco años.
Cuando RDP está expuesto directamente a internet —sin VPN real, sin restricción de IP, sin autenticación de múltiple factor— cualquier actor malicioso puede intentar fuerza bruta contra las credenciales de usuario. Los ataques automatizados escanean todo el rango de direcciones IP de internet buscando el puerto 3389 abierto. Si su servidor tiene ese puerto accesible desde internet, está siendo escaneado ahora mismo.
En 2024, el 63% de los incidentes de ransomware en América Latina tuvieron como vector de entrada inicial RDP mal configurado o credenciales de RDP compradas en mercados de acceso inicial en la dark web.
Qué hace que una VPN sea real
Una VPN corporativa real tiene cuatro características que la diferencian de una solución improvisada:
- Cifrado moderno: protocolos como OpenVPN con TLS 1.3, WireGuard o IPSec con IKEv2. Protocolos obsoletos como PPTP o L2TP sin IPSec no ofrecen seguridad real.
- Autenticación de múltiple factor: una contraseña comprometida no debe ser suficiente para acceder a la red corporativa. El segundo factor —aplicación autenticadora, hardware token— hace que las credenciales robadas sean inútiles sin el dispositivo físico.
- Acceso con mínimos privilegios: el usuario VPN debe acceder solo a los recursos que necesita, no a toda la red interna. Un empleado de ventas no necesita acceso al servidor de contabilidad.
- Registro y monitoreo: toda conexión VPN debe quedar registrada con usuario, hora, IP de origen y duración. Sin registros, no hay capacidad de investigación ante un incidente.
Señales de que su VPN no es lo que cree
- Sus empleados se conectan “al escritorio remoto” directamente, sin paso previo por VPN.
- La contraseña de Windows del usuario es lo único que protege el acceso remoto.
- No recibe alertas cuando alguien falla repetidamente la autenticación.
- Cualquier empleado VPN puede acceder a cualquier servidor de la empresa.
- No ha revisado los registros de acceso VPN en los últimos 30 días.
La corrección no es complicada
Migrar de acceso remoto improvisado a VPN corporativa correctamente configurada es un proyecto de implementación de días, no de meses. Los componentes modernos —firewall con cliente VPN integrado, autenticación MFA con Microsoft Authenticator o solución similar— tienen costos accesibles para PYMES.
El costo de implementar una VPN corporativa correcta es una fracción del costo promedio de un incidente de ransomware, que en 2024 promedió $847,000 en pérdidas para empresas medianas a nivel global, incluyendo tiempo de inactividad, recuperación y daño reputacional.
¿Sabe exactamente qué puertos de su empresa están abiertos a internet? AVN Networks realiza evaluaciones de exposición de acceso remoto y diseña soluciones VPN enterprise para PYMES costarricenses. Solicite una evaluación de riesgo.