Tutti conosciamo qualcuno che nasconde la chiave vicino alla porta, sotto lo zerbino, in un vaso, sopra lo stipite. È comodo: se ti dimentichi le tue, se arriva un parente, se devi far entrare l’idraulico mentre sei al lavoro, la chiave è lì. Il problema è che è lì anche per chiunque altro abbia voglia di sollevare quello zerbino.
Per anni la sicurezza VPN aziendale è stata raccontata come una porta blindata verso l’ufficio: ti colleghi da casa, dimostri chi sei con password e codice di verifica, e sei dentro al sicuro come se fossi alla tua scrivania. Di recente è emerso un attacco che ribalta questa certezza, e riguarda da vicino chiunque abbia investito su questi sistemi negli ultimi anni.
Sicurezza VPN aziendale: quando la porta consegna le chiavi da sola
Facciamo un passo indietro e vediamo da dove nasce tutto questo. A fine maggio Palo Alto Networks, uno dei nomi più solidi della sicurezza informatica per le grandi aziende, ha confermato che una falla nel suo sistema di accesso VPN era già sotto attacco. Non un allarme teorico: qualcuno la stava sfruttando davvero. E qui arriva la parte interessante, quella che vale la pena capire al di là del marchio coinvolto, perché oggi è Palo Alto ma il meccanismo può ripresentarsi su qualunque prodotto. Gli attaccanti non hanno forzato la serratura. Si sono fabbricati un lasciapassare falso ma perfettamente credibile, entrando dalla VPN senza bisogno di password né del codice di verifica.
Come è possibile? Il portale di accesso lasciava in bella vista un pezzo del proprio meccanismo di riconoscimento, una sorta di timbro ufficiale. Gli aggressori hanno preso quel timbro e si sono prodotti da soli un pass già vidimato. Si presentano alla porta con un documento che sembra autentico in tutto e per tutto, e la porta li fa entrare senza chiedere altro. Il doppio controllo che credevi ti proteggesse, password più codice sul telefono, viene saltato a piè pari, perché il sistema è convinto di avere davanti una persona già autorizzata.
E non è un caso isolato, né un problema di un singolo marchio. Negli ultimi mesi la stessa scena si è ripetuta con quasi tutti i grandi nomi dell’accesso remoto aziendale. Fortinet ha visto circolare le credenziali di decine di migliaia di apparati in tutto il mondo. WatchGuard ha dovuto tappare in fretta una falla che permetteva di prendere il controllo del firewall da remoto, senza nemmeno una password. Persino Sophos, che pure non è finito al centro di una singola campagna clamorosa, ha dovuto correggere più di una volta falle che avrebbero consentito di eseguire codice da remoto sui suoi firewall, e i suoi apparati sono stati comunque presi di mira quando è passata l’ondata “FortiBleed”, che abbiamo raccontato qui. Alla fine, sotto tiro ci sono finiti un po’ tutti, gli attaccanti hanno puntato i sistemi VPN dei grandi marchi di firewall, SonicWall compreso. Il motivo è quasi ovvio: quando un apparato si mette di traverso fra gli attaccanti e la rete aziendale, ed è esposto su internet giorno e notte, diventa lui stesso il bersaglio più ambito. Non conta il marchio sulla scatola, conta che sia una porta sul mondo e che nessuno la stia più guardando.
Una volta dentro, poi, l’intruso si muove come un dipendente legittimo. Le sue sessioni risultano pulite nei registri di sistema, perché tecnicamente è entrato dalla porta giusta nel modo giusto. Il tempo medio che un attaccante passa indisturbato dentro una rete prima di colpire si misura in giorni, a volte settimane: tutto il tempo per guardarsi intorno, capire dove sono i dati che contano, e portarli fuori.
Cosa rischia davvero una PMI
Qui scatta il riflesso difensivo: “ma quello è un prodotto da grande azienda, non riguarda noi”. Sbagliato. Moltissime aziende, di ogni dimensione, hanno adottato una VPN nel periodo del lavoro da remoto forzato, tra il 2020 e il 2021, e non l’hanno più rivista da allora. Configurata una volta, dimenticata.
Una VPN dimenticata è esattamente la chiave sopra lo zerbino: l’avevi messa lì per comodità in un momento di necessità, e ora è semplicemente lì, a disposizione di chi passa. Per un’azienda significa accesso silenzioso alla rete interna, esfiltrazione di dati dei clienti con tutto ciò che ne consegue sul piano del GDPR, e nei casi peggiori un ransomware che cifra i sistemi. Per le aziende ormai rientrate nel perimetro della direttiva NIS2, come buona parte della filiera automotive, alimentare e sanitaria, una breccia da una VPN non aggiornata significa anche sanzione e obbligo di notifica entro 24 ore.
Sicurezza VPN aziendale: chi entra non è automaticamente di casa
La prima cosa che facciamo, entrando in azienda, è banale e quasi sempre rivelatrice: fare l’inventario degli accessi remoti esposti su Internet e verificare da quanto tempo non vengono aggiornati. È sorprendente quante VPN dimenticate saltino fuori in mezza giornata di sopralluogo.
Ma il punto vero è un altro, ed è un cambio di mentalità. Per anni il modello è stato: superi la VPN, sei dentro, sei fidato. Questo attacco dimostra che quel modello è finito. La risposta non è cambiare marca di apparato, sperando che il prossimo sia inviolabile, perché come abbiamo visto non lo è nessuno. La risposta è cambiare il modo in cui si entra: chi arriva dalla VPN va trattato come un ospite, non come un padrone di casa.
Con IronVPN, il servizio di sicurezza VPN aziendale che progettiamo per i nostri clienti, l’accesso remoto poggia su due colonne e diversi fattori di autenticazione e riconoscimento. Le colonne: un client Pritunl che si collega a un server dedicato nel nostro cloud per l’autenticazione, e il firewall SonicWall a governare la VPN site-to-site e gli accessi granulari. Sopra ci sono due livelli che questo tipo di attacco rende non più opzionali: il doppio fattore con codice temporaneo (TOTP, Time-based One-Time Password) e l’autenticazione del dispositivo, cioè il riconoscimento del singolo computer autorizzato. Un lasciapassare contraffatto, anche se ben fatto, non basta più: serve anche il dispositivo giusto nelle mani giuste. E dietro tutto questo c’è la segmentazione della rete, perché chi entra da un punto non deve poter raggiungere tutto, ma solo i server o le risorse che gli sono veramente necessarie.
La lezione che possiamo portarci a casa
La domanda da farsi non è se la nostra VPN è di marca buona. È: da quanto tempo non la guardiamo, e cosa succede esattamente nel momento in cui qualcuno entra da lì. L‘analisi e la gestione della VPN aziendale non è un lavoro che si fa una volta e si archivia. È più simile a controllare ogni tanto che lo zerbino sia ancora solo uno zerbino, e non un portachiavi a disposizione di tutti.
Se hai una VPN che hai configurato qualche anno fa e da allora non hai più toccato, è probabile che valga la pena darci un’occhiata insieme.
Parliamone.
🧩 Kaos Informatica ti può aiutare
Se vuoi, Kaos Informatica può aiutare la tua azienda a:
✅ Analizzare le modalità di accesso remoto della tua azienda
✅ Verificare che siano stati applicati i privilegi minimi a tutti gli utenti remoti
✅ Progettare una soluzione VPN con i più alti standard di sicurezza.
Contattaci e parliamone insieme
