L'idea di fondo: le VPN non sono più la spina dorsale dell'accesso sicuro
Per oltre due decenni le reti private virtuali (VPN) hanno rappresentato lo standard per la connettività remota. Tuttavia, poiché le aziende sono passate al lavoro ibrido e a svolgere operazioni principalmente nel cloud, i punti deboli delle VPN sono diventati impossibili da ignorare. Abbiamo scoperto che, in un solo anno, più della metà delle organizzazioni ha subito attacchi direttamente legati alle vulnerabilità VPN.
Gli aggressori sfruttano sempre più spesso vulnerabilità zero-day, credenziali rubate e ricognizioni basate sull'intelligenza artificiale per sfruttare queste soluzioni di accesso obsolete e infiltrarsi nelle reti. Non c’è da sorprendersi se la grande maggioranza delle organizzazioni ora prevede di adottare una strategia zero trust entro il 2026.
Le VPN accelerano il rischio in ogni dimensione
Il report si basa su un questionario rivolto a 632 professionisti dell'IT e della sicurezza informatica nel mondo, e ha evidenziato quattro tendenze determinanti:
- L'obsolescenza delle VPN sta accelerando. Ben il 65% delle aziende intende sostituire le proprie VPN entro un anno, ovvero il 23% in più rispetto a quanto evidenziato nel report dell'anno scorso.
- Lo sfruttamento delle VPN è in aumento. Quest'anno, il 56% delle organizzazioni ha subito violazioni legate alle VPN, e il 92% teme che le VPN le esponga al ransomware.
- Le frustrazioni legate alle VPN sono in continuo aumento. Il 51% delle organizzazioni afferma che le proprie VPN offrono esperienze utente scadenti e il 37% lamenta costi elevati.
- Lo zero trust le sta rapidamente sostituendo. Quasi tutte le organizzazioni (il 96%) hanno già implementato, stanno pianificando o hanno aderito a una strategia zero trust.
Le VPN aumentano la probabilità di subire attacchi e il loro raggio d'azione
I gruppi ransomware hanno scoperto che le VPN sono bersagli facili e allettanti. I dispositivi non aggiornati e i modelli basati sulla fiducia implicita consentono agli aggressori di distribuire rapidamente ransomware e malware e di muoversi lateralmente senza ostacoli.
In risposta, alcuni fornitori di VPN tradizionali cercano di far apparire le macchine virtuali distribuite nel cloud come soluzioni zero trust. Dal punto di vista architettonico, tuttavia, le VPN ospitate nel cloud sono comunque servizi connessi a Internet con indirizzi IP pubblici che gli aggressori possono trovare e violare.
Il 71% degli intervistati considera il movimento laterale una delle principali preoccupazioni, in quanto i modelli di fiducia implicita delle VPN fanno sì che un utente compromesso possa effettivamente violare un intero ambiente. Gli aggressori possono quindi sfruttare il loro ampio accesso alla rete per aumentare i privilegi e rubare dati sensibili prima di essere scoperti.
Le VPN comportano costi nascosti in termini di tempi di inattività e affaticamento
Le VPN legacy consumano enormi quantità di risorse e gravano sulle risorse operative già carenti dei team IT. I costi di manutenzione esorbitanti e la protezione inefficace rendono sempre più chiaro che il modello VPN non è sostenibile.
Inoltre, le VPN non creano problemi solo ai team IT. Gli utenti esprimono frustrazione per una serie di problemi relativi a queste tecnologie, dalle scarse prestazioni ai problemi di accesso, fino alla semplice impossibilità di accedere a risorse essenziali. Questi problemi rallentano la produttività e aumentano i ticket inviati all'help desk.
Lo zero trust si sta affermando con forza
La maggior parte delle organizzazioni riconosce che le VPN non sono più in grado di soddisfare le loro esigenze di sicurezza e accesso. Le crescenti vulnerabilità, le scarse esperienze degli utenti e le esigenze di manutenzione spingono le organizzazioni ad abbandonare le VPN a un ritmo mai visto e a orientarsi verso soluzioni di accesso sicuro moderne come lo ZTNA (Zero Trust Network Access).
Per superare le debolezze delle architetture VPN legacy, la stragrande maggioranza (96%) delle organizzazioni sta prendendo in considerazione o perseguirà attivamente una strategia zero trust nel prossimo futuro.
La disputa tra zero trust e VPN può dirsi conclusa
Un tempo le VPN definivano l'accesso remoto. Oggi definiscono il rischio. I perimetri tradizionali sono crollati e gli aggressori sfruttano ogni falla, dalle catene di CVE non corrette con patch alle backdoor di terze parti.
I nostri risultati chiariscono una cosa: le aziende devono sostituire le VPN con architetture zero trust per rimanere resilienti di fronte alle minacce sofisticate di oggi.
Scarica il report completo di Zscaler ThreatLabz sui rischi delle VPN del 2025 per approfondimenti, tendenze e analisi più approfondite, tra cui:
- Gli exploit VPN più gravi, dall'esecuzione di codice remoto al bypass dell'autenticazione
- Cosa ha portato quest'anno ad alcune violazioni di alto profilo legate alle VPN
- I rischi per le aziende durante fusioni e acquisizioni e accesso di terze parti, da vulnerabilità ereditate a backdoor nelle VPN dei fornitori
- Casi di studio reali, come quello su ManPower Group, che ha ridotto i ticket dell'help desk del 97% dopo aver sostituito le VPN
- Le 7 principali previsioni sui rischi delle VPN per il 2025 e oltre del nostro team di esperti nella ricerca di informazioni sulle minacce
- Le best practice che la tua organizzazione può implementare oggi per eliminare i rischi critici della VPN