¿Puede hackearse una VPN?

La protección de la actividad online tiene en las VPN, o redes privadas virtuales, uno de sus principales activos. A través de lo que se conoce como protocolo de túnel, las VPN se encargan de cifrar el tráfico online de un usuario, y de hacer que sus datos sean ilegibles. Es una capa de seguridad que han elegido muchas empresas y consumidores finales para proteger su privacidad por distintos motivos, y son tan populares, que cerca de la cuarta parte de usuarios de Internet usaron una VPN el año pasado.

Es por tanto una medida de protección online muy popular, pero tal como sucede con otras herramientas, preguntarse si puede hackearse es común entre sus usuarios, y la respuesta es que si, técnicamente, todas las VPNs pueden ser hackeadas, porque todo el software está expuesto a hackeos. Eso sí, conseguirlo con ellas es más complicado que en con otros tipos de herramientas, y si lo que los atacantes intentan es hacerlo con una de las de mayor calidad, puede que lo tengan realmente complicado. Especialmente, si cuenta con una infraestructura de servidor segura.

¿Cómo funciona una VPN?

Por lo general, una VPN funciona generando una conexión privada, en la que la actividad realizada en Internet queda cifrada, y por tanto no puede leerse. Los datos de Internet de quien la esté utilizando se redirigen a un servidor VPN, que enmascara la dirección IP del usuario y le proporciona una capa adicional de anonimato en la red. Por eso se utilizan frecuentemente para saltarse restricciones geográficas, puesto que permiten hacer creer a las webs o redes de destino que quien está intentando acceder a ellos está en un sitio diferente a aquél en el que se encuentra realmente.

Además, el cifrado esconde diversos tipos de datos sensibles de proveedores de acceso a Internet, organismos gubernamentales y ciberdelincuentes. Entre ellos la dirección IP, la ubicación del dispositivo utilizado para acceder a Internet, el historial de navegación y las búsquedas online. Hay varios tipos de VPN, de distintas dimensiones, pero todas funcionan básicamente de la misma manera. Veamos qué posibilidades habría de hackearlas.

Hackear una VPN rompiendo su cifrado

La ruptura del cifrado es una de las maneras que hay para hackear una VPN. Para ello, los atacantes pueden utilizar ataques de tipo criptográfico, aunque es probable que solo tengan éxito con los cifrados que no tengan una clave muy bien implementada. En cualquier caso, romper el cifrado de una VPN es un proceso que consume tiempo y recursos de manera considerable, por lo que es poco probable que los hackers tengan la paciencia necesaria para conseguirlo.

Además, la mayoría de VPNs actuales usan AES (Advanced Encryption Standard) para el cifrado, y en concreto el algoritmo AES-256. Este estándar de cifrado usa una longitud de clave de 256 bit para cifrar y descifrar los datos, y es uno de los sistemas más seguros de encriptado de la actualidad. Es virtualmente irrompible, e incluso con la tecnología actual costaría mucho tiempo romperlo. Por eso lo utilizan incluso bancos y entidades gubernamentales.

VPNs que usen protocolos de túnel antiguos

Otro sistema que pueden utilizar los hackers para penetrar en una VPN es explotar protocolos de túnel de VPN antiguos. Estos protocolos son, básicamente, un conjunto de normas para establecer cómo se gestionan los datos de los usuarios de la red privada virtual en cuestión. También fijan cómo se envían estos datos a través de una red en concreto.

Utilizar VPNs que usen protocolos antiguos, como PPTP o L2TP/IPSec, rebaja la seguridad de las redes, puesto que si nivel de seguridad se considera medio o bajo con respecto a las VPN más modernas, con protocolos actualizados.

PPTP, en concreto, utiliza tecnología más antigua, y cuenta con vulnerabilidades conocidas que los ciberdelincuentes pueden explotar. L2TP/IPsec es algo más actual, y tiene mejor seguridad, pero también tiene un rendimiento más lento que otros protocolos más modernos. Pero son las más modernas, con protocolos como OpenVPN, WireGuard e IKEv2, las que ofrecen una buena mezcla de seguridad de alto nivel y velocidad.

VPNs vulnerables a través de filtraciones de DNS, IP o WebRTC

Los ciberatacantes también pueden hacerse con los datos de los usuarios a través de filtraciones de VPN, esto es, a datos de usuarios que se filtran a través de un túnel VPN debido a un fallo o vulnerabilidad en la aplicación.

Los principales tipos de filtración de este tipo son los siguientes: filtraciones de DNS, que se dan cuando la VPN expone la actividad de Internet al servidor DNS del proveedor a pesar de estar en una conexión cifrada; filtraciones de IP, cuando la dirección IP queda expuesto en Internet; y filtraciones WebRTC, que implican una filtración con la tecnología de l navegador, que hace que las webs consigan acceso no autorizado a la dirección IP del usuario, saltándose el túnel VPN cifrado.

VPNs que graban datos de usuarios

El hackeo de una VPN se puede llevar a cabo también cuando hay proveedores de VPN que guardan los datos de los usuarios sin contar con su consentimiento. Aunque muchos proveedores de este tipo de redes aseguran que cuentan con políticas de «no grabaciones», asegurando que no guardan los datos de los usuarios, ha habido veces en las que se ha descubierto que las VPNs sí habían almacenado información del usuario a pesar de asegurar que contaban con políticas como las mencionadas.

Ejemplos de hackeos reales de VPNs

Este mismo mes de enero se han descubierto cinco vulnerabilidades de «día cero» en la VPN de Ivanti. Con ellas, un atacante sin autenticar podría ejecutar código en remoto y comprometer sistemas, lo que afectaba a casi 30.000 sistemas protegidos por ella y conectados a Internet. Por suerte, desde el descubrimiento de estas vulnerabilidades, Ivanti ya ha lanzado parches para corregir algunas de ellas.

Otra VPN bastante popular, NordVPN, anunció en 2019 que uno de sus servidores de terceros había sufrido una brecha de seguridad en 2018. Se trató de un único servidor de NordVPN en Finlandia, que fue atacado por una configuración no demasiado acertada en el centro de datos del servidor, de lo que no recibieron aviso.

Según la compañía, no hubo otros servidores, ni credenciales de usuarios, afectados por el incidente. Tras la brecha tomaron todas las medidas necesarias para mejorar su seguridad, y desde entonces han realizado varias auditorías para confirmar que todo está bien. En la actualidad se la considera como una de las VPNs más seguras.

Además, ha habido varias ocasiones en las que VPNs con políticas de no grabación han generado sospechas, o se las ha pillado, registrando los datos de sus usuarios. En 2016 pasí con IPVanish VPN y en 2017 con Hotspot Shield VPN. En cuanto a Norton Secure VPN, a pesar de tener una política de este tipo, la Declaración de privacidad global de Norton señala que almacena datos de usuarios, entre los que están los nombres de dispositivos, direcciones IPs y URLs.

Cómo mejorar la seguridad de las VPN

Hay varias medidas que puedes tomar para mejorar la seguridad de una VPN, y también para mejorar su experiencia de usuario. Para empezar, si vas a utilizarla con cierta regularidad, es aconsejable emplear una de pago. Una gratuita puede ser suficiente para un uso muy ocasional en el que necesites cambiar la dirección IP, pero si vas a usarla habitualmente, es mejor usar una de pago. Además, algunas gratuitas venden a terceros los datos de sus usuarios, principalmente para que les envíen publicidad personalizada.

Con una VPN de pago tendrás una experiencia en general más segura, y tus datos no se venderán a terceros. Además contarás con mejor soporte y atención al cliente y seguridad más elevada. En cualquier caso, selecciona una que cuente con políticas de no grabación de datos que realice auditorías independientes para verificar esto.

A la vista de lo que puede suceder con las VPNs que usen protocolos antiguos, es mejor elegir una que use protocolos modernos y actualizados. En concreto, los protocolos OpenVPN, WireGuard o IKEx2. También hay protocolos propietarios de ciertos desarrolladores de VPN que ofrecen una seguridad elevada, como Lightway de Express VPN o NordLynx de NordVPN.

Aparte de todo esto, es importante saber que una VPN suele incorporar diversas funciones de seguridad que mejoran aún más la protección. Por ejemplo, la conocida como kill switch, que bloquea automáticamente cualquier conexión entre el sistema en uso e Internet que no esté enrutada a través de un túnel de VPN cifrado. Así, si se cae la conexión de la VPN, esta función evita que los datos sensibles puedan filtrarse. No todas las VPN incluyen esta función, por lo que es conveniente comprobarlo.