Sinds de opmars van telewerken tijdens de pandemie in 2020 zijn virtuele particuliere netwerken (VPN’s) een essentieel hulpmiddel voor bedrijven geworden.
Een VPN op gegevensstromen tussen bedrijfsnetwerken en toestellen van werknemers beveiligt gevoelige informatie zonder de productiviteit in gevaar te brengen of kritieke bedrijfsactiviteiten te verlammen. Tal van organisaties hebben tegenwoordig het hybride werken ingevoerd en VPN’s zijn essentieel voor netwerkconnectiviteit en beveiliging.
VPN’s staan onder streng toezicht door de toename van kwetsbaarheden en exploits die schade kunnen aanrichten, soms zelfs vooraleer patches kunnen geïmplementeerd worden. VPN’s zijn een potentiële toegang tot bedrijven en hun aantrekkingskracht, zowel voor staatshackers als cybercriminelen, is onmiskenbaar. Deze besteden dan ook enorme middelen om de zwakke punten van bedrijfssoftware te vinden. Dit legt heel wat druk op organisaties en benadrukt het belang van sterke beveiligingspraktijken om risico’s te beperken.
Met massale aanvallen op beveiligingsfouten, toeleveringsketens en andere inbreuken die steeds vaker voorkomen, groeit de bezorgdheid over de capaciteit van VPN’s om bedrijfsgegevens te helpen beschermen. Misschien zou een bepaalde soort software ook een bron van cyberrisico kunnen zijn. Vandaar de vraag: kan een professionele VPN een handicap zijn die het aanvalsoppervlak van een organisatie vergroot?
Een VPN leidt het gebruikersverkeer door een gecodeerde tunnel en beschermt de gegevens tegen nieuwsgierige blikken. Het doel van een professionele VPN is het opzetten van een privéverbinding via een openbaar netwerk of het internet. Zo hebben geografisch verspreide medewerkers toegang tot interne netwerken alsof ze op hun kantoor in het bedrijf zouden zijn.
Maar een kwetsbare VPN krijgt te maken met allerlei bedreigingen. Verouderde software ligt vaak aan de basis van aanvallen op organisaties. Door misbruik te maken van een VPN-kwetsbaarheid kunnen hackers inloggegevens stelen, gecodeerde sessies kapen, willekeurige code uitvoeren en toegang krijgen tot gevoelige gegevens. Het VPN Vulnerability Report 2023 geeft een overzicht van kwetsbaarheden tijdens de afgelopen jaren.
VPN’s hebben natuurlijk onderhouds- en beveiligingsupdates nodig om kwetsbaarheden te verhelpen. Bedrijven lijken echter moeite te hebben om gelijke tred te houden met VPN-updates, omdat ze vaak geen geplande downtime hebben en er verwacht wordt dat ze continu operationeel zijn.
Ransomware-groepen richten zich dus vaak op kwetsbare VPN-servers. Ze hoeven slechts één keer binnen te geraken en kunnen dan over het netwerk reizen en doen wat ze willen: gegevens versleutelen en losgeld eisen, data extraheren, spioneren, enz. Een kwetsbaarheid misbruiken, opent de deur voor extra hacks, wat mogelijk kan leiden tot wijdverbreide netwerkbesmetting.
In 2021 namen aan Rusland gelinkte cybercriminelen vijf kwetsbaarheden in VPN-infrastructuurproducten als doelwit. Het resultaat was een publieke waarschuwing van de NSA waarin organisaties werden opgeroepen onmiddellijk patches toe te passen om geen hacking en spionage te riskeren.
De VPN is een cruciaal element voor veilige toegang en kan een lucratief doelwit zijn voor aanvallers die willen inbreken in bedrijfsnetwerken. Meerdere geavanceerde persistente dreigingsgroepen (APT) hebben onlangs bekende kwetsbaarheden in VPN-software misbruikt om inloggegevens te stelen, op afstand code uit te voeren en gevoelige informatie te extraheren. Het misbruiken van deze kwetsbaarheden opent de weg tot bijkomende toegang, wat kan leiden tot gecompromitteerde netwerken.
Werkmethodes evolueren en de vraag naar toegang op afstand blijft bestaan. Daarom is het van kapitaal belang prioriteit te geven aan de beveiliging van externe medewerkers als fundamenteel onderdeel van de beveiligingsstrategie van een organisatie.