I portali VPN aziendali restano una delle superfici di accesso iniziale più affidabili su internet pubblico—non perché i protocolli siano compromessi, ma perché le password rubate o indovinate funzionano ancora su larga scala. Questo articolo è una sintesi di threat research, non una nota di rilascio del vendor: collega le misurazioni sul credential stuffing del DBIR 2025 di Verizon con una campagna coordinata di febbraio 2026 contro i portali GlobalProtect di Palo Alto, e spiega cosa significa questo schema per gli operatori e per i lavoratori da remoto attenti alla privacy.
Cosa dicono i numeri sul credential stuffing
La ricerca aggiuntiva del DBIR 2025 di Verizon sul credential stuffing riporta che le credenziali compromesse sono state un vettore di accesso iniziale in 22% delle violazioni esaminate. Nei log dei provider SSO, la quota giornaliera mediana dei tentativi di autenticazione attribuiti al credential stuffing era 19%—circa 25% per i clienti di dimensioni enterprise e 12% anche per le piccole imprese—con un picco in un singolo giorno del 44%. I dati sui malware infostealer nello stesso articolo hanno mostrato che, nel caso mediano, solo 49% delle password salvate di un utente tra i vari servizi erano distinte. In parole povere: il riutilizzo è ancora abbastanza comune da rendere redditizie le combo list.
Fonte: Verizon Business — Ulteriori ricerche DBIR 2025 sul credential stuffing.
Il credential stuffing differisce dal password spraying rumoroso. Gli aggressori immettono coppie username/password già violate (combo list), spesso tramite proxy, e provano ciascuna coppia una sola volta per bersaglio, così il traffico si confonde con il normale rumore dei login. L'MFA riduce il raggio d'impatto, ma Verizon osserva che l'MFA è sempre più un requisito di base piuttosto che una soluzione magica—soprattutto quando gli utenti non vengono mai iscritti, o quando i token di sessione vengono rubati dopo un login riuscito.
Caso di studio: portali GlobalProtect, febbraio 2026
Il 23–24 febbraio 2026, ELLIO Threat Research Lab ha osservato un picco di 11× contro i percorsi di login di Palo Alto GlobalProtect (/global-protect/login.esp). In circa 48 ore, i sensori hanno registrato circa 30,000 sessioni da 8,575 IP di origine univoci in tre ondate orchestrate. Circa l'89% delle sessioni era ricognizione GET; un sottoinsieme è proseguito con tentativi di login POST.
I POST riutilizzavano una singola password (Password1) su un dizionario fisso di 78 username in stile dipendente (iniziale del nome + cognome). ELLIO ha valutato quella fase come un probing aggressivo per capire quali portali accettano il modulo di autenticazione, non necessariamente uno smash da combo-list attentamente curato. L'infrastruttura era concentrata nello spazio di indirizzi di GTT Communications (AS3257), con fingerprint TCP/HTTP distintivi (incluso un fingerprint JA4H POST quasi esclusivo della campagna).
Fonte: ELLIO — Campagna coordinata di credential-stuffing contro i portali Palo Alto GlobalProtect (26 febbraio 2026).
La lezione difensiva che ELLIO sottolinea è la sequenza: il probing GET ha preceduto di ore lo stuffing POST all'interno di ogni ondata. Le organizzazioni che hanno bloccato tempestivamente gli IP di ricognizione o i fingerprint degli strumenti non hanno mai visto la fase delle credenziali. I portali VPN restano bersagli ricorrenti; gli ASN di hosting ruotano, ma il playbook—trovare il portale, testare l'auth, passare oltre—no.
In che modo questo differisce da un titolo “bleed” su un singolo vendor
Le esposizioni di massa delle credenziali contro brand specifici di firewall VPN dominano i cicli di notizie perché i conteggi sono enormi e gli IOC sono concreti. Quegli incidenti contano. Non sono, tuttavia, l'unica forma del problema. L'ondata GlobalProtect mostra uno schema più lento e a bassa intensità: liste di username di uso comune, password banali e scansione ampia delle pagine di login SSL VPN esposte su Internet. La telemetria SSO di Verizon mostra la stessa classe di abusi che consuma una frazione rilevante del traffico di autenticazione quotidiano in molti settori—non solo sugli appliance firewall.
Per un pubblico di privacy e security, le cause radice condivise sono noiose e durature:
- Riutilizzo delle password tra SSO aziendale, VPN, email e siti personali.
- Portali VPN o di amministrazione esposti su Internet che accettano l'autenticazione con password senza MFA resistente al phishing.
- Archiviazione delle password debole o legacy sugli appliance (dove il cracking offline diventa praticabile dopo il furto degli hash).
- Malware infostealer sugli endpoint che raccoglie le credenziali VPN e di amministrazione salvate nel browser e le immette nei mercati underground.
Rischio per le persone, non solo per i dashboard SOC
Quando un account SSL VPN aziendale viene compromesso con successo tramite stuffing, l'attaccante eredita un percorso attendibile verso app interne, posta e condivisioni di file. Questo può trasformarsi in preparazione di ransomware, frode sulle retribuzioni o furto silenzioso di dati. Per i privati che usano VPN consumer, la modalità di fallimento analoga è il takeover dell'account dell'abbonamento VPN stesso (email di fatturazione + password riusata), seguito da abuso della sessione o social engineering sul canale di supporto. La crittografia di WireGuard o OpenVPN non aiuta se l'attaccante accede semplicemente come te.
Anche i lavoratori da remoto dovrebbero ricordare che un portale VPN aziendale su internet pubblico è una pubblicità: gli scanner troveranno /global-protect/login.esp, i percorsi Fortinet SSL VPN e URL simili in continuazione. «Siamo troppo piccoli per essere un bersaglio» è incoerente con il tasso di stuffing delle piccole imprese di Verizon e con le campagne automatizzate che costano quasi nulla per tentativo.
Mitigazioni concrete (operatori)
- Rimuovere l'admin pubblico ove possibile. Le interfacce di gestione non dovrebbero essere esposte a tutto internet; preferire jump host in allowlist o broker zero-trust.
- Imporre MFA resistente al phishing su account VPN e admin (FIDO2/passkey o equivalente), non solo SMS.
- Bloccare il recon in anticipo. Inserire fingerprint e ASN degli scanner ad alta confidenza nei controlli perimetrali prima che inizi lo stuffing via POST.
- Limitare la frequenza e segnalare su fallimenti di autenticazione distribuiti contro i percorsi VPN; prestare attenzione a password uniformi o a schemi rigidi di nome utente.
- Ruotare le credenziali dopo compromissioni da infostealer sui laptop degli amministratori; presupporre che le password VPN salvate nel browser siano state copiate.
- Preferire un hashing delle password più robusto sulle appliance (ad esempio PBKDF2 dove i fornitori lo supportano) e disabilitare le modalità hash legacy.
- Seguire le indicazioni del fornitore e del CSIRT nazionale quando una campagna nomina la famiglia del vostro prodotto; verificare le baseline di configurazione per account amministratore sconosciuti.
Mitigazioni fondate (individui)
- Usare un gestore di password; non riutilizzare mai la password della VPN o dell'email altrove.
- Attivare l'MFA per l'account VPN e per la casella email che può reimpostarlo.
- Evitare di salvare le password VPN aziendali nei browser su dispositivi personali che eseguono anche estensioni casuali.
- Trattare le email inattese di reimpostazione della password VPN come un potenziale incidente, non come rumore di routine.
Cosa non stiamo affermando
Questo articolo non sostiene che GlobalProtect sia unicamente debole, che ogni organizzazione oggetto di scansioni sia già stata compromessa, o che le VPN consumer no-logs siano immuni all'account takeover. Sostiene invece—sulla base delle misurazioni pubblicate da Verizon e della telemetria della campagna di ELLIO del febbraio 2026—che il credential stuffing contro gli endpoint di autenticazione VPN è routinario, automatizzato e ancora efficace ovunque le password restino il cancello d'accesso.
I tunnel robusti contano. Lo stesso vale per le password univoche, l'MFA e la riduzione del numero di varchi basati su password che esponete all'intera internet.