VPN sense MFA: el vector d'entrada favorit del ransomware a Espanya el 2026
Hi ha un dato que apareix en pràcticament totes les anàlisis forenses d'atacs de ransomware a Espanya el 2026: l'accés inicial no es produeix per una vulnerabilitat tècnica exòtica. Es produeix per una credencial vàlida usada contra una VPN o un escriptori remot que no té autenticació multifactor.
El grup Akira — un dels més actius a Espanya aquest any — té un perfil de víctima reconeixible: empreses amb concentradors VPN Cisco accessibles des d'internet sense MFA. RansomHub, Qilin i 8Base tenen vectors similars. Els infostealers Lumma, RedLine i Stealc circulen en mercats de la dark web venent accessos a empreses espanyoles per centenars d'euros. Un atacant compra l'accés, entra amb credencials legítimes, i la VPN no distingeix entre l'empleat real i l'intrús.
La conclusió és incòmoda però clara: la VPN sense MFA no és un control de seguretat — és una porta amb la clau sota el felpudo. I en el context d'amenaces del 2026, aquesta porta s'està provant de forma sistemàtica i automatitzada.
Per què la VPN sense MFA és el vector més explotat a Espanya
Pas 1 — Obtenció de credencials. Les credencials no es roben en el moment de l'atac. Es recopilen amb antelació. Els infostealers s'instal·len silenciosament al dispositiu d'un empleat i extreuen totes les contrasenyes emmagatzemades, incloses les d'accés VPN. Aquestes credencials es venen en mercats especialitzats de la dark web, on qualsevol atacant pot comprar accés a una empresa espanyola específica per un preu que oscil·la entre cent i diversos milers d'euros.
Pas 2 — Reconeixement automatitzat. L'informe Cyber Protect 2026 de SonicWall documenta que els bots realitzen més de 36.000 escanejos de vulnerabilitats per segon a Espanya. Cada dispositiu connectat a internet rep una mitjana de 93.474 intents d'intrusió per any — el dato més alt de tota Europa.
Pas 3 — Accés amb credencials vàlides. Amb les credencials comprades, l'atacant inicia sessió a la VPN exactament com ho faria l'empleat legítim. La VPN verifica usuari i contrasenya, les dades són correctes, i concedeix accés. Sense MFA, no hi ha segona capa de verificació. Sense segmentació de xarxa, aquest accés inicial dona pas a una xarxa plana on l'atacant es pot moure lliurement cap als sistemes més crítics.
Pas 4 — Moviment lateral i preparació de l'atac. L'atacant no actua immediatament. Explora la xarxa, identifica els servidors de còpia de seguretat, els sistemes de comptabilitat, les bases de dades de clients. Es mou lateralment usant eines legítimes del sistema operatiu — PowerShell, WMI, eines d'administració remota — que els sistemes de detecció convencionals no marquen com a malicioses.
Les vulnerabilitats de VPN van créixer un 82,5% en l'últim any
El problema no és sols l'absència de MFA. És la combinació de MFA absent amb versions de firmware sense actualitzar. Cada vegada que es publica una vulnerabilitat crítica en un concentrador VPN popular — Cisco, Fortinet, Palo Alto — els atacants llancen campanyes massives i automatitzades per identificar quines empreses estan usant aquella versió vulnerable abans que apliquin el pedaç.
La CISA ha emès alertes el 2026 sobre atacs actius contra vulnerabilitats en Fortinet i Microsoft SharePoint. Les empreses espanyoles que usen aquests productes i no han aplicat els pedaços disponibles s'estan escanejant activament ara mateix.
Què canvia amb Zero Trust respecte a la VPN
Amb VPN: el concentrador està exposat a internet, accepta connexions entrants, i un cop autenticat l'usuari dona accés ampli a la xarxa. Si les credencials estan compromeses i no hi ha MFA, l'atacant entra i pot moure's per tota la xarxa.
Amb ZTNA: no hi ha cap punt d'entrada exposat a internet. Encara que les credencials estiguin compromeses, l'accés només arriba al recurs concret per al qual aquell usuari té permís. I cada accés queda registrat, cosa que permet detectar comportaments anòmals en temps real.
ConnectaSec implementa aquest model sense requerir canvis al firewall existent i sense hardware addicional. El desplegament es fa en minuts, i la migració pot coexistir amb la VPN actual durant la transició.
El cas concret d'Akira: per què ataca VPN Cisco sense MFA
Akira és l'exemple més documentat del patró d'atac més freqüent a Espanya el 2026. El seu manual d'operacions és conegut: identifiquen empreses que usen Cisco ASA o Cisco FTD, comproven si hi ha credencials disponibles en mercats d'infostealers o usen tècniques de password spraying, i si no hi ha MFA, amb una credencial vàlida tenen accés. Un cop dins, busquen primer el servidor de còpia de seguretat, l'inutilitzen, i llavors van a per els sistemes més crítics.
L'antídot directe és doble: MFA que impedeixi que una credencial robada sigui suficient per entrar, i Zero Trust que impedeixi que un cop dins l'atacant pugui moure's lliurement cap a sistemes crítics.
Preguntes freqüents
Tinc MFA activat però segueixo usant VPN — estic protegit?
MFA redueix significativament el risc d'accés inicial per credencials compromeses. Però no elimina el problema que, un cop dins amb credencials legítimes + MFA, l'usuari té accés ampli a la xarxa. Tampoc elimina el risc de vulnerabilitats al concentrador VPN. MFA és necessari però no suficient si el model d'accés subjacent continua sent de xarxa plana.
Com sé si les meves credencials VPN circulen a la dark web?
Serveis com HaveIBeenPwned permeten verificar si un email corporatiu apareix en filtracions conegudes. La senyal més simple: si un empleat ha instal·lat programari de fonts no oficials o ha obert adjunts sospitosos, les seves credencials podrien estar compromeses sense saber-ho.
Puc mantenir la meva VPN i afegir Zero Trust a sobre?
Sí. La migració recomanada és incremental: desplegar ZTNA en paral·lel a la VPN, migrar els accessos de major risc primer (proveïdors externs, accessos a sistemes crítics), validar el funcionament i retirar la VPN progressivament. ConnectaSec no requereix canvis al firewall existent.
El password spraying és detectable?
És difícil de detectar precisament perquè està dissenyat per no disparar els sistemes de bloqueig. En lloc de molts intents contra un compte, fa pocs intents contra molts comptes. Els sistemes amb MFA el neutralitzen perquè, tot i que l'atacant endevini la contrasenya, no pot completar el segon factor.
En resum
→ La VPN sense MFA és el vector d'accés inicial més explotat pels grups de ransomware actius a Espanya el 2026 — Akira, Qilin, RansomHub i 8Base l'utilitzen sistemàticament.
→ Les credencials s'obtenen abans de l'atac mitjançant infostealers o es compren en mercats de la dark web. L'atacant entra amb una clau legítima, no forçant la porta.
→ Les vulnerabilitats en concentradors VPN van créixer un 82,5% en l'últim any. Cada vulnerabilitat publicada genera una onada d'escanejos automatitzats en hores.
→ ZTNA elimina el punt d'entrada visible: sense ports exposats, sense concentrador que atacar. Encara que les credencials estiguin compromeses, l'accés queda limitat al recurs concret autoritzat.
→ MFA és necessari però no suficient si el model d'accés continua sent de xarxa plana. La combinació correcta és MFA + Zero Trust.
La teva VPN té MFA activat en tots els accessos — i controla què pot fer l'usuari un cop dins?
En 30 minuts analitzem el teu model d'accés remot actual i t'expliquem com tancar els dos vectors que més exploten els atacants a Espanya el 2026.
Sol·licitar anàlisi gratuïta →