VPN corporativa: qué protege de verdad y qué no

Una VPN cifra el tráfico entre el dispositivo y su punto de salida, y sustituye la dirección IP visible. Con eso protege frente a redes hostiles y a la observación del operador local. No aporta anonimato, no bloquea phishing ni malware y no borra la sesión ya iniciada en un servicio.

Escribimos esto desde una posición incómoda para la publicidad del sector: operamos nuestra propia red de nodos y publicamos nuestra propia aplicación, VPNPro89. Precisamente por eso podemos describir el producto por lo que hace. Un fabricante que promete anonimato total está vendiendo una propiedad que su tecnología no tiene.

¿Qué es exactamente una VPN?

Definición. Una red privada virtual establece un túnel cifrado entre un dispositivo y un punto de terminación remoto. Todo el tráfico que entra en el túnel viaja protegido frente a la red intermedia y sale a internet —o a la red corporativa— desde ese punto de terminación.

De ahí se derivan sus dos únicos efectos primarios:

1. Confidencialidad e integridad del transporte entre el cliente y el concentrador.
2. Cambio del punto de salida, y con él de la dirección IP y de la geografía aparente.

Todo lo demás que se le atribuye a una VPN es, o bien una consecuencia indirecta de esos dos efectos, o bien marketing.

Las referencias técnicas para el caso corporativo clásico están en la Guide to IPsec VPNs (NIST SP 800-77 Rev. 1), de junio de 2020, que describe la arquitectura, los modos de operación y los criterios de configuración de las implantaciones basadas en IPsec e IKE.

¿Qué protege realmente y frente a quién?

Amenaza	¿La VPN ayuda?	Matiz
Red wifi pública o no confiable	Sí	Impide que un intermediario en esa red observe o manipule el tráfico
Observación por parte del operador de acceso	Sí, se desplaza	El operador deja de ver el destino; lo ve el proveedor de la VPN
Bloqueo de acceso por origen geográfico	A menudo	Depende del servicio y de sus mecanismos de detección
Exposición de servicios internos a internet	Sí	Permite mantener recursos internos sin publicarlos
Interceptación en tránsito de datos sin cifrar	Sí, en el tramo del túnel	Fuera del túnel el tráfico queda como estaba
Phishing y robo de credenciales	No	El túnel transporta el engaño con la misma fidelidad
Malware y ransomware	No	Es transporte, no inspección de contenido
Identificación por cuenta iniciada	No	El servicio te reconoce por la sesión, no por la IP
Huella del navegador y cookies	No	Persisten con y sin túnel
Filtración de datos ya en poder de un tercero	No	No hay nada que cifrar en el destino
Registro de actividad en el servicio de destino	No	El servicio registra lo que haces dentro de él

La lectura conjunta de la tabla es la tesis de este artículo: la VPN es un control de red, y la mayoría de los incidentes reales no empiezan en la red. Empiezan en un correo, en una credencial reutilizada o en un permiso mal configurado. El informe anual ENISA Threat Landscape 2025 sitúa el phishing y la ingeniería social entre los vectores de intrusión dominantes, y ninguno de ellos se atenúa cifrando el transporte.

¿Por qué el anonimato no es una propiedad de la VPN?

Porque el anonimato exige que nadie pueda vincular la actividad con una persona, y una VPN reorganiza esa vinculación en lugar de eliminarla.

• El proveedor ve lo que antes veía el operador. Se sustituye a quién confías, no la existencia de alguien en quien confiar. Un proveedor que afirma no registrar nada está haciendo una promesa contractual, no una imposibilidad técnica.
• La cuenta te identifica. Si inicias sesión, el servicio te conoce. La dirección IP es el identificador más débil del conjunto.
• El navegador te identifica. Cookies, almacenamiento local, versión, resolución, fuentes, comportamiento. La huella persiste al cambiar de IP.
• El pago te identifica. Una suscripción a nombre propio vincula al usuario con el servicio.
• Los patrones te identifican. Horario, volumen y correlación temporal de conexiones son señales estables.

Por eso en nuestra propia aplicación describimos qué hace el transporte y qué no, sin afirmar privacidad total. Es también la razón por la que el pilar de reputación y el de protección se tratan por separado: borrar un rastro público no es lo mismo que cifrar un transporte, y confundirlos genera expectativas imposibles de cumplir. El primero se explica en servicios: reputación.

¿Sigue teniendo sentido con HTTPS en todas partes?

Sí, pero por motivos más estrechos que hace diez años.

Con TLS 1.3 (RFC 8446), publicado en agosto de 2018, el contenido de la sesión ya viaja cifrado y con menos metadatos expuestos que en versiones anteriores. Lo que la red local sigue observando sin VPN son los metadatos de conexión: a qué destinos te conectas, en qué momento y con qué volumen. Y en muchos entornos ese es justamente el dato sensible: un periodista en un hotel, un investigador en un país con vigilancia del acceso, un directivo en la red de una contraparte durante una negociación.

Los tres casos en los que una VPN aporta valor claro hoy:

1. Red de acceso no confiable, donde el operador o un intermediario tiene interés en los metadatos.
2. Acceso a recursos internos que no deben publicarse en internet.
3. Continuidad de acceso cuando la ruta habitual está degradada o filtrada, escenario habitual en el trabajo de medios y creadores que cubrimos en sectores: medios de comunicación y prensa.

Fuera de esos casos, el beneficio marginal es pequeño y el coste operativo no lo es.

¿Qué riesgos introduce la propia VPN?

Un control de seguridad que añade superficie de ataque tiene que justificarse. Los cuatro riesgos que hay que gestionar:

• El concentrador es un objetivo de primer orden. Es un dispositivo expuesto a internet, con credenciales y con acceso a la red interna. Las vulnerabilidades en soluciones de acceso remoto han sido durante años una vía de entrada preferente para actores avanzados. El parcheado del concentrador no es mantenimiento rutinario: es control crítico.
• Acceso plano. Una VPN mal diseñada coloca al cliente dentro de la red como si estuviera en la oficina, con visibilidad de todo. Si el portátil está comprometido, el túnel cifra el ataque de camino al centro de datos.
• Autenticación débil en la puerta. Un acceso remoto protegido solo con usuario y contraseña, o con un segundo factor por SMS, es una puerta abierta con una cerradura decorativa. El criterio completo está en MFA resistente al phishing: por qué el SMS ya no basta.
• Falsa sensación de cobertura. Es el más caro. Cuando la dirección cree que "ya tenemos VPN", el presupuesto de correo, identidad y respuesta a incidentes se queda sin justificación. El fraude de instrucciones de pago que describimos en Fraude del CEO en una compraventa atraviesa una VPN sin despeinarse.

¿Cómo se configura una VPN corporativa que aporte algo?

Seis decisiones que separan una implantación útil de una casilla marcada:

1. Autenticación resistente al phishing en el acceso remoto, con certificado de dispositivo además del factor de usuario.
2. Segmentación por destino, no acceso plano. Cada perfil alcanza solo los servicios que necesita. Es el paso que convierte la VPN en un control de verdad.
3. Comprobación del estado del equipo antes de conceder acceso: sistema actualizado, cifrado de disco activo, agente de seguridad operativo.
4. Túnel dividido decidido con criterio, no por defecto. Enviar todo el tráfico por la sede tiene coste; enviar solo el corporativo deja el resto sin protección de metadatos. La decisión depende del perfil de amenaza, y conviene escribirla.
5. Criptografía moderna y configuración revisada, siguiendo las recomendaciones de la guía NIST citada más arriba, con retirada de algoritmos heredados.
6. Registro y revisión de sesiones: quién se conecta, desde dónde, a qué hora y a qué recursos accede. Sin esto no hay detección posible.

Y una decisión previa a todas: para qué. Si la respuesta es "para acceder a los sistemas internos", una VPN bien segmentada tiene sentido. Si es "para estar seguros", el instrumento está mal elegido.

Nosotros aplicamos este mismo criterio a nuestra propia infraestructura de nodos y lo declaramos sin adornos; el estado real de los marcos y controles aplicados está en /trust, y el alcance del pilar en servicios: protección.

Qué hacer ahora

1. Escribe en una frase para qué usa tu organización la VPN. Si no hay respuesta operativa, el resto del ejercicio sobra.
2. Comprueba si el acceso remoto sigue admitiendo un segundo factor débil. Si lo admite, ese es el nivel real de la puerta.
3. Revisa qué alcanza un usuario una vez dentro del túnel. Si alcanza toda la red, no tienes segmentación: tienes un cable largo.
4. Verifica la versión y la fecha de parcheado del concentrador, y quién es responsable de mantenerlo.
5. Deja de contar la VPN como control frente a phishing, fraude o filtración de datos. No lo es, y contarla así distorsiona el resto del plan.

Si quieres una revisión del acceso remoto —arquitectura, autenticación, segmentación y exposición del concentrador— con recomendaciones priorizadas y sin venta de producto de terceros, escríbenos desde /contacto.