Los portales VPN empresariales siguen siendo una de las superficies de acceso inicial más fiables de internet público: no porque los protocolos estén rotos, sino porque las contraseñas robadas o adivinadas siguen funcionando a gran escala. Este artículo es una síntesis de investigación de amenazas, no una nota de lanzamiento de un proveedor: conecta las mediciones de credential stuffing del DBIR 2025 de Verizon con una campaña coordinada de febrero de 2026 contra los portales GlobalProtect de Palo Alto, y explica qué significa ese patrón para los operadores y los trabajadores remotos preocupados por la privacidad.
Lo que dicen las cifras sobre el credential stuffing
La investigación adicional del DBIR 2025 de Verizon sobre credential stuffing indica que las credenciales comprometidas fueron un vector de acceso inicial en 22% de las brechas revisadas. En los registros de proveedores de SSO, la proporción diaria mediana de intentos de autenticación atribuidos al credential stuffing fue 19%—alrededor de 25% para clientes de tamaño empresarial y 12% incluso para pequeñas empresas—con un pico de un solo día de 44%. Los datos de malware infostealer en el mismo informe mostraron que, en el caso mediano, solo 49% de las contraseñas guardadas de un usuario en distintos servicios eran distintas. En lenguaje sencillo: la reutilización sigue siendo lo bastante común como para que las listas combo sigan siendo rentables.
Fuente: Verizon Business — Investigación adicional del DBIR 2025 sobre credential stuffing.
El credential stuffing se diferencia del password spraying ruidoso. Los atacantes introducen pares de usuario/contraseña previamente filtrados (listas combo), a menudo a través de proxies, y prueban cada par una sola vez por objetivo para que el tráfico se mezcle con el ruido habitual de inicio de sesión. La MFA reduce el radio de impacto, pero Verizon señala que la MFA es cada vez más un requisito básico y no una bala de plata, especialmente cuando los usuarios nunca se inscriben o cuando se roban tokens de sesión tras un inicio de sesión exitoso.
Caso de estudio: portales GlobalProtect, febrero de 2026
El 23–24 de febrero de 2026, ELLIO Threat Research Lab observó un pico de 11× contra las rutas de inicio de sesión de Palo Alto GlobalProtect (/global-protect/login.esp). En aproximadamente 48 horas, los sensores registraron unas 30,000 sesiones de 8,575 IPs de origen únicas en tres oleadas orquestadas. Alrededor del 89% de las sesiones fueron reconocimiento GET; un subconjunto continuó con intentos de inicio de sesión POST.
Los POST reutilizaron una sola contraseña (Password1) a través de un diccionario fijo de 78 nombres de usuario al estilo de empleados (inicial del nombre + apellido). ELLIO evaluó esa fase como un sondeo agresivo de qué portales aceptan el formulario de autenticación, no necesariamente un smash de combo-list cuidadosamente curado. La infraestructura se concentró en el espacio de direcciones de GTT Communications (AS3257), con huellas TCP/HTTP distintivas (incluida una huella JA4H POST casi exclusiva de la campaña).
Fuente: ELLIO — Campaña coordinada de credential stuffing apunta a portales Palo Alto GlobalProtect (26 de febrero de 2026).
La lección defensiva que ELLIO enfatiza es la secuencia: el sondeo GET precedió al relleno POST por horas dentro de cada oleada. Las organizaciones que bloquearon pronto las IP de reconocimiento o las huellas de las herramientas nunca vieron la fase de credenciales. Los portales VPN siguen siendo objetivos recurrentes; los ASN de alojamiento rotan, pero el playbook —encontrar el portal, probar la autenticación, seguir adelante— no.
En qué se diferencia esto de un titular de «bleed» de un solo proveedor
Las exposiciones masivas de credenciales contra marcas específicas de VPN de cortafuegos dominan los ciclos informativos porque las cifras son enormes y los IOC son concretos. Esos incidentes importan. No son, sin embargo, la única forma del problema. La oleada de GlobalProtect muestra un patrón más lento y de menor intensidad: listas de nombres de usuario genéricas, contraseñas triviales y un amplio rastreo de páginas de inicio de sesión SSL VPN expuestas a Internet. La telemetría SSO de Verizon muestra la misma clase de abuso consumiendo una gran fracción del tráfico diario de autenticación en muchos sectores, no solo en dispositivos de cortafuegos.
Para un público de privacidad y seguridad, las causas raíz compartidas son aburridas y duraderas:
- Reutilización de contraseñas entre SSO corporativo, VPN, correo electrónico y sitios personales.
- Portales VPN o de administración expuestos a Internet que aceptan autenticación por contraseña sin MFA resistente al phishing.
- Almacenamiento débil o heredado de contraseñas en appliances (donde el cracking sin conexión se vuelve práctico tras el robo de hashes).
- Malware infostealer en endpoints que extrae credenciales de VPN y de administración guardadas en el navegador hacia mercados clandestinos.
Riesgo para las personas, no solo para los paneles del SOC
Cuando el stuffing de una cuenta corporativa de SSL VPN tiene éxito, el atacante hereda una ruta de confianza hacia las aplicaciones internas, el correo y los recursos compartidos de archivos. Eso puede convertirse en preparación de ransomware, fraude de nóminas o robo silencioso de datos. Para las personas que usan VPN de consumo, el modo de fallo análogo es la toma de control de la propia suscripción VPN (correo de facturación + contraseña reutilizada), seguida de abuso de sesión o ingeniería social por el canal de soporte. La criptografía de WireGuard u OpenVPN no ayuda si el atacante simplemente inicia sesión como usted.
Los trabajadores remotos también deben recordar que un portal VPN de empresa en internet público es un anuncio: los escáneres encontrarán /global-protect/login.esp, rutas Fortinet SSL VPN y URL similares de forma continua. «Somos demasiado pequeños para ser un objetivo» es incompatible con la tasa de stuffing en pequeñas empresas de Verizon y con campañas automatizadas que cuestan casi nada por intento.
Mitigaciones fundamentadas (operadores)
- Elimine el admin público cuando sea posible. Las interfaces de gestión no deben estar expuestas a todo internet; prefiera jump hosts con lista de permitidos o brokers de zero-trust.
- Aplique MFA resistente al phishing en cuentas VPN y de administración (FIDO2/passkeys o equivalente), no solo SMS.
- Bloquee el reconocimiento de forma temprana. Incorpore huellas de escáneres de alta confianza y ASNs en los controles perimetrales antes de que comience el stuffing por POST.
- Aplique rate-limit y alerte en fallos de autenticación distribuidos contra rutas VPN; vigile contraseñas uniformes o patrones rígidos de nombre de usuario.
- Rote las credenciales tras incidentes de infostealer en portátiles de administrador; asuma que se copiaron las contraseñas VPN guardadas en el navegador.
- Prefiera un hash de contraseñas más robusto en dispositivos (por ejemplo PBKDF2 cuando los proveedores lo admitan) y desactive los modos de hash heredados.
- Siga las indicaciones del proveedor y del CSIRT nacional cuando una campaña nombre su familia de productos; verifique las líneas base de configuración en busca de cuentas de administrador desconocidas.
Mitigaciones fundamentadas (particulares)
- Use un gestor de contraseñas; nunca reutilice la contraseña de VPN o de correo en otros sitios.
- Active MFA en la cuenta VPN y en el buzón de correo que pueda restablecerla.
- Evite guardar contraseñas de VPN corporativa en navegadores de dispositivos personales que también ejecuten extensiones aleatorias.
- Trate un correo inesperado de restablecimiento de contraseña VPN como un posible incidente, no como ruido rutinario.
Lo que no estamos afirmando
Este artículo no afirma que GlobalProtect sea especialmente débil, que toda organización que detecte escaneos ya esté comprometida, ni que las VPN de consumo no-logs sean inmunes a la toma de cuentas. Sí afirma —basándose en las mediciones publicadas de Verizon y en la telemetría de la campaña de febrero de 2026 de ELLIO— que el credential stuffing contra los endpoints de autenticación VPN es rutinario, automatizado y sigue siendo eficaz allí donde las contraseñas siguen siendo la puerta de acceso.
Los túneles fuertes importan. También las contraseñas únicas, el MFA y reducir el número de puertas de contraseña que se exponen a todo Internet.