El 65 % de las empresas planea reemplazar sus VPN por arquitecturas Zero Trust en 2025

Las redes privadas virtuales (VPN) han pasado de ser herramientas de acceso remoto confiables a representar uno de los principales riesgos de ciberseguridad en el entorno empresarial actual. Así lo refleja el nuevo Informe de Riesgos de VPN 2025 elaborado por Zscaler ThreatLabz, en colaboración con Cybersecurity Insiders, que revela una tendencia clara: el 65 % de las empresas sustituirá sus VPN por arquitecturas zero trust el próximo año.

El informe, basado en una encuesta a más de 600 profesionales de TI y ciberseguridad, destaca que el 92 % de los encuestados teme que las vulnerabilidades no parcheadas en las VPN puedan derivar en ataques de ransomware, mientras que un 93 % teme brechas de seguridad por accesos de terceros a través de estas conexiones.

“Los atacantes aprovecharán cada vez más la IA para realizar reconocimiento automatizado, la difusión inteligente de contraseñas y desarrollo rápido de exploits. Para abordar estos riesgos, las empresas deben adoptar una estrategia de zero trust en todas partes. Este enfoque elimina la necesidad de activos expuestos a internet como las VPN, reduciendo drásticamente la superficie de ataque e impacto de las brechas”, apunta Pablo Vera, vicepresidente regional de Iberia en Zscaler.

Las VPN, un modelo agotado

Diseñadas originalmente para permitir el acceso remoto a las redes corporativas, las VPN se han quedado atrás frente a las amenazas actuales. Sus limitaciones —como accesos sobreprivilegiados, mantenimiento complejo y baja visibilidad— las convierten en un objetivo ideal para los ciberdelincuentes. Además, el 54 % de las empresas señala la dificultad de mantener la seguridad y el cumplimiento normativo como su principal desafío operativo con las VPN.

Casos recientes como el ataque de un grupo de ciberespionaje que explotó una vulnerabilidad en una VPN ampliamente utilizada, o la filtración de datos de 20.000 clientes de una entidad financiera en 2024, son ejemplos contundentes de la fragilidad de este sistema heredado.

La alternativa: una arquitectura Zero Trust

Ante esta realidad, el 81 % de las organizaciones ya está adoptando o planea adoptar el modelo zero trust durante los próximos 12 meses. A diferencia de las VPN, zero trust parte de la premisa de que ningún usuario o dispositivo debe ser confiado por defecto, incluso si se encuentra dentro de la red corporativa.

Entre sus ventajas, el modelo proporciona:

• Minimización de la superficie de ataque, al basarse en identidades y no en redes.
• Bloqueo de amenazas antes del compromiso, mediante autenticación multifactorial y acceso de mínimo privilegio.
• Prevención del movimiento lateral, gracias a segmentación inteligente.
• Protección avanzada de los datos, con políticas contextuales y visibilidad total.
• Simplificación operativa, reemplazando infraestructuras rígidas por soluciones ágiles basadas en IA.

Zscaler señala además que alojar VPN tradicionales en la nube no equivale a implementar zero trust, ya que el enfoque sigue siendo el mismo: una puerta de acceso abierta una vez autenticado el usuario.

Una superficie de ataque en expansión

Según el informe, las vulnerabilidades en las VPN aumentaron un 82,5 % entre 2020 y 2024, con un 60 % catalogadas como críticas. Las de ejecución remota de código (RCE) son las más explotadas, ya que permiten a los atacantes ejecutar comandos maliciosos en los sistemas vulnerables.

Estas brechas son especialmente preocupantes cuando implican a proveedores, contratistas o socios externos —grupos a los que las VPN otorgan acceso tras una única autenticación—, abriendo puertas a posibles ataques mediante credenciales robadas o configuraciones erróneas.

Un nuevo estándar de seguridad

Frente a este escenario, Zscaler insiste en que solo una transformación real hacia arquitecturas zero trust permitirá a las organizaciones hacer frente a amenazas cada vez más sofisticadas, automatizadas y persistentes. Las conclusiones del informe ofrecen no solo datos, sino un llamado claro a la acción: abandonar cuanto antes los modelos de seguridad heredados y evolucionar hacia esquemas más dinámicos, contextuales y resilientes.

El informe completo ya está disponible y proporciona mejores prácticas para implementar zero trust, mitigar riesgos y garantizar la continuidad operativa en un entorno de amenazas en constante evolución.