Un IT manager apre il portatile la mattina. Digita il nome utente, la password, preme invio. Si collega in VPN come fa ogni giorno da tre anni. Apre la cartella condivisa, controlla la posta, comincia la giornata. Nessun warning, nessun errore, nessun segnale strano.
Solo che a quella stessa identica VPN, in quel preciso momento, si è collegato anche qualcun altro. Qualcuno dall’altra parte del mondo che ha comprato le sue credenziali su un forum del dark web la settimana prima.
Da quel momento in poi, l’attaccante non deve “violare” niente. Cammina dentro la rete come un dipendente qualsiasi. Vede gli stessi server, accede agli stessi documenti, può aprire le stesse cartelle. Non è un attacco. È una visita guidata. E nella maggior parte delle PMI italiane oggi, una VPN sicura PMI non è ancora un dato di fatto, è un’aspirazione.
Il 48% che entra dalla porta principale
Il Cyber Protect Report 2026 di SonicWall, pubblicato qualche settimana fa, contiene un dato che dovrebbe far riflettere chiunque gestisca l’IT di una piccola o media azienda. Il 48% delle violazioni analizzate nel 2025 è iniziato da credenziali VPN compromesse usate come vettore di accesso iniziale.
Non da un exploit zero-day. Non da un malware sofisticato. Non da un’intrusione che ha richiesto giorni di lavoro preparatorio. Da una password.
Le credenziali arrivano agli attaccanti in molti modi: phishing mirato, infostealer installati su dispositivi personali, database di credenziali rubate vendute sui mercati neri, riutilizzo della stessa password tra il portale aziendale e un servizio consumer che ha subito un data breach due anni prima. SonicWall riporta che oltre 23 milioni di dispositivi non gestiti sono stati sfruttati nel 2025 per estrarre informazioni di accesso, spesso usando i cookie di sessione per bypassare anche l’autenticazione a due fattori quando era configurata male.
Ma il dato più impressionante non è quanto facilmente le credenziali vengono rubate. È cosa succede dopo, dentro le aziende che hanno una VPN sicura PMI solo sulla carta.
Quello che succede dopo l’autenticazione
SonicWall ha misurato il “tempo di movimento laterale”: quanto impiega un attaccante che si è autenticato a propagarsi da un punto della rete al server più critico. I numeri sono brutali.
In una rete con regole permissive, il classico “any-any” che si trova nel 41% degli ambienti violati, il tempo medio è di 12 minuti. Dodici minuti tra la prima connessione e il controllo completo dell’infrastruttura. In una rete con regole di subnet larghe, ma non illimitate, si sale a 38 minuti. In una rete progettata con regole restrittive e segmentazione vera, si arriva a 84 minuti. Sette volte di più.
Quei 72 minuti di differenza tra una rete piatta e una rete segmentata sono il margine che separa un incidente contenuto da un disastro aziendale. Sono il tempo che serve a un Security Operations Center per accorgersi dell’anomalia, isolare il segmento compromesso, bloccare l’accesso. In 12 minuti non si accorge nessuno. In 84 minuti qualcuno comincia a vedere il traffico anomalo.
Il problema, quindi, non è la VPN in sé. Le VPN servono, e servono bene. Il problema è il modello di accesso che la maggior parte delle VPN tradizionali implementa per default: autentica una volta, fidati per sempre, accesso piatto a tutto.
Cosa serve davvero per una VPN sicura PMI
Una VPN progettata oggi, nel 2026, per una PMI che prende sul serio la propria sicurezza, dovrebbe rispondere a tre domande molto precise. Le elenco perché sono i criteri che usiamo in Kaos quando valutiamo se la VPN di un cliente è all’altezza del problema o no.
Prima domanda: come autentica gli utenti?
Non basta la coppia username e password. Le credenziali rubate sono il vettore numero uno: una VPN che si fida di una password (anche complessa, anche cambiata ogni 90 giorni) è una VPN che ha già perso. Serve un secondo fattore basato su TOTP (Time-based One-Time Password, i codici a sei cifre che cambiano ogni 30 secondi su app come Google Authenticator o Authy) e idealmente anche un terzo fattore di Device Authentication: il client riconosce solo dispositivi registrati, identificati da un certificato univoco. Se rubi le credenziali ma non hai anche il dispositivo registrato e il codice TOTP del momento, non entri.
Seconda domanda: dove termina la VPN?
Le VPN tradizionali terminano direttamente sul firewall perimetrale della sede, quello che protegge la rete interna. Significa che il server VPN (la porta) è anche dentro la stanza che vuoi difendere. Se un attaccante riesce a bucare il server VPN, è già dentro la rete.
Una VPN sicura PMI termina invece su un server separato, ospitato in cloud (per esempio su Hetzner), che non ha alcun accesso diretto alla rete aziendale. Da quel server, una seconda VPN site-to-site (gestita da un firewall enterprise come SonicWall, sempre in cloud) apre un tunnel cifrato verso la sede del cliente. Sono due VPN in sequenza, non una. L’attaccante che eventualmente compromettesse il server di terminazione non si ritroverebbe sulla rete aziendale, ma in una zona neutra controllata.
Terza domanda: chi può fare cosa, una volta dentro?
L’errore più comune è dare a un utente VPN l’accesso all’intera rete. Una VPN ben fatta concede solo gli accessi minimi che servono a quella persona per quel ruolo: il commerciale accede al CRM e al gestionale, l’amministrativo accede al gestionale e ai documenti fiscali, l’IT manager accede ai server di gestione. Tutto il resto è bloccato dal firewall in mezzo, con regole granulari verificate periodicamente.
Questo è il principio del least privilege (privilegi minimi necessari) applicato alla VPN. Non è teoria: è la differenza tra 12 minuti e 84 minuti.
La lezione che possiamo imparare dal 48%
Il dato di SonicWall, il 48% delle violazioni che parte da credenziali VPN, non è una notizia. È una conferma. Conferma che il modello di accesso “fidati dopo l’autenticazione” è obsoleto, e che le PMI italiane che lo usano ancora sono in fila per diventare statistica.
Riprogettare l’accesso remoto non è un progetto complesso come può sembrare. Le tecnologie ci sono, sono mature, sono accessibili anche a una piccola azienda. Quello che serve è guardare la propria VPN attuale e farsi le tre domande di sopra: come autentica, dove termina, chi può fare cosa.
Se anche solo una delle risposte non è quella giusta, l’azienda è esposta al 48%. E quando dico esposta, intendo che statisticamente, con i ritmi attuali degli attaccanti, è solo questione di tempo.
In Kaos abbiamo costruito un servizio che risponde a tutte e tre le domande nel modo corretto. Si chiama IronVPN e implementa esattamente l’architettura descritta sopra: client con autenticazione multi-fattore (password, TOTP, device authentication), server VPN dedicato in cloud separato dalla rete aziendale, firewall SonicWall enterprise che gestisce la VPN site-to-site verso la sede del cliente con regole di accesso restrittive e granulari per ogni utente e per ogni ruolo.
Se ti riconosci nella scena dell’IT manager che si collega ogni mattina senza sapere chi altro c’è connesso insieme a lui, parliamone. Una valutazione del livello di sicurezza della tua VPN attuale non costa nulla, e in mezz’ora ti diciamo a che punto sei davvero.
🧩 Kaos Informatica ti può aiutare
Se vuoi, Kaos Informatica può aiutare la tua azienda a:
✅ Analizzare le modalità di accesso remoto della tua azienda
✅ Verificare che siano applicati i privilegi minimi a tutti gli utenti remoti
✅ Progettare una VPN con autenticazione multi-fattore e regole di accesso granulari
Contattaci e parliamone insieme
