El 14 de agosto de 2026, EcuCERT publicó la alerta AL-2026-040: el grupo de ransomware Gunra estaba explotando dos fallos de equipos Fortinet para saltarse la autenticación y obtener permisos de superadministrador. En junio, la alerta AL-2026-034 describía otra campaña contra las VPN SSL de Fortinet basada en contraseñas filtradas. En ambos casos, la puerta era el acceso remoto.
El patrón se repite desde 2020. El teletrabajo multiplicó las conexiones desde casa, y los equipos que las reciben, VPN, cortafuegos y servidores de escritorio remoto, quedaron expuestos a internet las veinticuatro horas. Un acceso remoto seguro no depende de una marca concreta, sino de cuatro hábitos: actualizar rápido, exigir doble factor, limitar permisos y vigilar.
Por qué el acceso remoto es la puerta más atacada
Quien entra por la VPN aparece dentro de la red como un empleado más, con una cuenta válida y una conexión cifrada. Por eso los grupos de ransomware compran credenciales de VPN filtradas y vigilan cada aviso de vulnerabilidad nueva en estos equipos, que suelen tardar semanas en recibir parches.
La guía #StopRansomware de CISA lo resume en dos recomendaciones: limitar RDP y los servicios de escritorio remoto, y exigir doble factor resistente al phishing en el correo, las VPN y las cuentas con acceso a sistemas críticos. Cuando fallan, el resultado típico es el que describe la guía sobre ransomware en empresas.
Escritorio remoto expuesto: el error que sigue abierto
El Protocolo de Escritorio Remoto de Windows (RDP) es cómodo para administrar servidores, y por eso sigue abierto en internet en muchas pymes. Sophos encontró abuso de RDP en el 90 % de los ataques que su equipo de respuesta atendió en 2023, la cifra más alta de esa serie, y en el 89 % del primer semestre de 2024.
El abuso no siempre es la entrada; a menudo sirve para moverse entre equipos una vez dentro. Aun así, un RDP abierto a internet recibe intentos de contraseña de forma continua. El fallo BlueKeep (CVE-2019-0708) en los Servicios de Escritorio Remoto de Microsoft sigue en el catálogo de CISA con uso conocido en campañas de ransomware.
La solución no consiste en cambiar el puerto 3389 por otro número, un truco que los escáneres automáticos descubren en minutos. Consiste en que RDP solo sea alcanzable desde la VPN o a través de una pasarela con doble factor, con autenticación a nivel de red activada y con cuentas que no tengan permisos de administrador por defecto.
Con SSH, el protocolo habitual para administrar servidores Linux, la lógica es la misma. Conviene entrar con llaves en lugar de contraseñas, deshabilitar el acceso directo del usuario root y limitar el puerto a la VPN o a direcciones conocidas. Un servidor SSH abierto con contraseña recibe intentos automáticos desde el primer minuto, y los registros lo muestran con claridad.
VPN atacadas en 2024 y 2025: lo que muestra el catálogo de CISA
El catálogo de vulnerabilidades explotadas de CISA solo incluye fallos con explotación real comprobada, y es la forma más directa de saber qué equipos están en la mira. Entre enero de 2024 y septiembre de 2025 entraron en esa lista fallos graves de casi cada fabricante de VPN corporativa presente en Ecuador.
| Fecha de inclusión | CVE | Producto | Tipo de fallo |
|---|---|---|---|
| 10 de enero de 2024 | CVE-2023-46805 y CVE-2024-21887 | Ivanti Connect Secure | Omisión de autenticación e inyección de comandos |
| 9 de febrero de 2024 | CVE-2024-21762 | Fortinet FortiOS (VPN SSL) | Escritura fuera de límites |
| 12 de abril de 2024 | CVE-2024-3400 | Palo Alto Networks PAN-OS (GlobalProtect) | Inyección de comandos |
| 30 de mayo de 2024 | CVE-2024-24919 | Check Point Quantum Security Gateways | Divulgación de información |
| 9 de septiembre de 2024 | CVE-2024-40766 | SonicWall SonicOS | Control de acceso indebido |
| 8 de enero de 2025 | CVE-2025-0282 | Ivanti Connect Secure | Desbordamiento de búfer |
| 14 de enero de 2025 | CVE-2024-55591 | Fortinet FortiOS y FortiProxy | Omisión de autenticación |
| 10 de julio de 2025 | CVE-2025-5777 | Citrix NetScaler ADC y Gateway | Lectura fuera de límites |
| 25 de septiembre de 2025 | CVE-2025-20333 y CVE-2025-20362 | Cisco ASA y Firepower Threat Defense | Desbordamiento y falta de autorización |
Casi cada una de esas entradas figura con uso conocido en ransomware. El caso de CVE-2025-0282 muestra lo poco que dura el margen: CISA lo añadió el mismo día en que Ivanti publicó el parche, y en abril de 2025 actualizó sus recomendaciones tras detectar una variante de malware, RESURGE, capaz de sobrevivir a las mitigaciones iniciales.
La lección no es abandonar la VPN, sino tratarla como el equipo más expuesto de la empresa: suscribirse a los avisos del fabricante y a las alertas de EcuCERT, aplicar los parches críticos en días y no en meses, y revisar si el equipo ya fue comprometido antes de actualizarlo, como pidió CISA en el caso de Ivanti.
Cómo comprobar si su acceso remoto seguro tiene huecos
La primera comprobación es un inventario honesto: qué servicios de la empresa responden desde internet. Incluya la VPN, el cortafuegos, el correo, cualquier RDP o SSH y los programas de soporte instalados en los equipos. Muchas empresas descubren en este paso un servidor de escritorio remoto que un proveedor abrió hace años y nadie volvió a revisar.
Después revise versiones y registros. Compare la versión de la VPN y del cortafuegos con los avisos del fabricante y con el catálogo de CISA, y busque en los registros conexiones exitosas a horas o desde países que no encajan con su personal. Si no sabe por dónde empezar, una auditoría de seguridad informática incluye exactamente esta revisión.
Un detalle que suele pasarse por alto son las cuentas. Revise si existen usuarios genéricos como "soporte" o "admin" compartidos entre varias personas, cuentas de exempleados todavía activas o contraseñas que no cambiaron desde la instalación. Un acceso remoto seguro con una cuenta compartida no permite saber quién entró, y esa pregunta es la primera que hará cualquier investigación.
Si encuentra algo que no puede explicar, como una cuenta desconocida con permisos de administrador o una conexión desde otro continente, no lo borre de inmediato. Guarde los registros, aísle el equipo afectado y consulte a un especialista en respuesta a incidentes. Borrar la evidencia por prisa impide saber hasta dónde llegó el intruso y qué datos tocó.
Doble factor que resista el phishing
La alerta de EcuCERT de junio de 2026 sobre las VPN de Fortinet describía ataques con contraseñas reutilizadas de filtraciones anteriores. Contra eso, el doble factor es la medida con mejor relación entre costo y beneficio. Pero no todos los segundos factores protegen igual: un código por SMS o una notificación que el usuario aprueba sin leer pueden ser engañados.
CISA pide doble factor resistente al phishing para las VPN: llaves de seguridad FIDO2 o llaves de acceso, ligadas al sitio legítimo. Cuando eso no sea posible de inmediato, una aplicación autenticadora con coincidencia de números es un paso intermedio razonable. Las contraseñas de cada usuario, por su parte, deberían vivir en un gestor de contraseñas y no repetirse.
Confianza cero y ZTNA explicados sin marketing
La publicación NIST SP 800-207, de agosto de 2020, define la confianza cero como enfoques que protegen personas, dispositivos y recursos en lugar de un perímetro, sin conceder confianza por estar en la red interna. En la práctica, cada acceso se verifica según quién es el usuario, desde qué equipo entra y a qué aplicación quiere llegar.
ZTNA, el acceso de red de confianza cero, aplica esa idea al trabajo remoto. En lugar de conectar el portátil a la red completa, publica solo las aplicaciones autorizadas y comprueba el estado del dispositivo antes de cada sesión. En una pyme pequeña, un acceso remoto seguro con VPN mantenida, doble factor y segmentación cubre buena parte del objetivo.
Conviene desconfiar, eso sí, del uso publicitario del término. Ningún producto aislado convierte a una empresa en confianza cero; es una forma de diseñar permisos, no una caja que se instala. Si un proveedor promete lo contrario, pregunte cómo se revocan los accesos de un empleado que se va y cuánto tarda en aplicarse ese cambio.
AnyDesk, TeamViewer y las estafas de soporte técnico
Las herramientas de soporte remoto tienen dos caras. Son legítimas y útiles para el área de sistemas, pero también son el instrumento preferido de las estafas telefónicas. En enero de 2023, CISA, la NSA y el MS-ISAC describieron una campaña en la que los delincuentes usaban AnyDesk y ScreenConnect para tomar el control del equipo de las víctimas.
El guion: una llamada sobre un supuesto cobro, la descarga de un programa de soporte y, con la víctima en su banca en línea, una pantalla manipulada que mostraba un reembolso excesivo. El paso final era pedir que la víctima devolviera la diferencia. Esa misma mecánica aparece en las estafas en Ecuador con falsos técnicos y falsos asesores bancarios.
En la empresa, la medida es aprobar una lista de herramientas de soporte y bloquear el resto, incluidas sus versiones portátiles. CISA recomienda también vigilar en los registros la ejecución de estos programas y permitirlos solo desde la VPN. Para el personal, la regla es una: nadie instala software de control remoto a pedido de una llamada.
Acceso remoto seguro para el teletrabajo: lista para una pyme
En Ecuador, el Acuerdo Ministerial MDT-2022-237 del Ministerio del Trabajo regula el teletrabajo y establece que el empleador debe proveer los equipos, herramientas e insumos necesarios. Esa obligación favorece un acceso remoto seguro: un portátil corporativo, gestionado y cifrado, es mucho más fácil de proteger que la computadora familiar que usan también los hijos del trabajador.
La red de casa es el otro frente. El enrutador doméstico suele conservar la contraseña de fábrica y un firmware de hace años, y comparte la red con televisores, cámaras y consolas. Conviene pedir al personal que cambie esa contraseña, actualice el equipo y, si es posible, use una red separada para invitados y aparatos domésticos.
La lista siguiente reúne las medidas mínimas para una empresa de cinco a cincuenta personas con teletrabajo. Ninguna exige comprar un producto caro; la mayoría son configuraciones y hábitos que el área de sistemas o un proveedor externo pueden aplicar en pocas semanas, empezando por los puertos expuestos y el doble factor.
- Cierre cualquier RDP o SSH expuesto directamente a internet y déjelos accesibles solo desde la VPN.
- Active doble factor en la VPN, el correo y las consolas de administración, preferiblemente con llaves FIDO2.
- Suscríbase a los avisos de seguridad del fabricante de la VPN y del cortafuegos, y a las alertas de EcuCERT.
- Aplique los parches críticos del equipo de borde en días, y revise si fue comprometido antes de actualizar.
- Entregue equipos corporativos con disco cifrado, antivirus o EDR y actualizaciones automáticas.
- Dé a cada persona su propia cuenta, con acceso solo a los sistemas que necesita.
- Apruebe una herramienta de soporte remoto y bloquee las demás.
- Revise cada semana los registros de conexión de la VPN.
- Retire las cuentas y accesos el mismo día en que alguien deja la empresa.
El último punto parece obvio y es el que más falla. Un exempleado con la VPN todavía activa no tiene que ser malintencionado para causar un problema: basta con que su contraseña aparezca en una filtración. Si detecta un acceso no autorizado, conserve los registros antes de tocar nada y consulte cómo denunciar un delito informático en Ecuador.