Un VPN mal patché est aujourd’hui le premier vecteur d’entrée des rançongiciels sur les réseaux d’entreprise. Selon une étude At-Bay de 2025, 73 % des attaques par rançongiciel via accès distant impliquaient un VPN, contre 38 % en 2023. Déployer un tunnel chiffré entre le poste du télétravailleur et le réseau interne reste une brique de sécurité nécessaire, mais elle ne suffit plus à elle seule. Nous détaillons ici les points techniques que les guides grand public laissent de côté.
Passerelles VPN : surface d’attaque et durcissement des équipements
Les passerelles VPN d’entreprise de Fortinet, Ivanti, Pulse Secure ou Citrix ont concentré plusieurs vulnérabilités critiques entre 2023 et 2025. Des exploits ont été utilisés avant même la publication des correctifs par les éditeurs. Le problème ne vient pas du principe du tunnel chiffré, mais de l’appliance qui le termine.
A voir aussi : Les clés USB infectées menacent la sécurité des réseaux d'entreprise
Nous recommandons un cycle de mise à jour agressif sur ces équipements : correctifs appliqués sous 48 heures pour les CVE critiques, surveillance active des bulletins CERT. Un VPN dont la passerelle n’est pas durcie donne une fausse impression de protection tout en exposant l’ensemble du réseau interne.
Le firmware de la passerelle doit être traité avec la même rigueur qu’un pare-feu périmétrique. Désactiver les protocoles obsolètes (PPTP, L2TP sans IPsec), restreindre les suites de chiffrement aux standards actuels (AES-256-GCM, ChaCha20) et segmenter le réseau derrière le concentrateur VPN pour limiter le mouvement latéral en cas de compromission.
A lire également : Les défis modernes : comment appelle-t-on l'image d'une personne sur le web ?
Authentification multifacteur et VPN en télétravail : exigence des assureurs cyber
Les courtiers en assurance cyber conditionnent désormais la couverture du télétravail à des prérequis précis. Un VPN professionnel chiffré et régulièrement mis à jour figure parmi les critères, mais il ne suffit pas. Les assureurs identifient les VPN mal configurés comme une faille de sécurité qui peut invalider la police.
Parmi les exigences documentées par les courtiers spécialisés :
- Authentification à deux facteurs obligatoire pour tous les accès distants, y compris les comptes de service
- Journalisation centralisée des connexions VPN avec conservation des logs sur une durée définie contractuellement
- Audit régulier de la configuration du concentrateur VPN et preuve de l’application des correctifs critiques
En cas d’incident, l’assureur vérifiera si ces mesures étaient en place au moment de la compromission. Un tunnel chiffré sans MFA activé revient, du point de vue assurantiel, à laisser la porte ouverte.
VPN contre ZTNA : quel modèle d’accès distant pour le réseau d’entreprise
Le modèle Zero Trust Network Access gagne du terrain face au VPN classique. La différence architecturale est nette : le VPN accorde l’accès au réseau, le ZTNA accorde l’accès à une ressource. Un utilisateur connecté en VPN peut, par défaut, atteindre l’ensemble du sous-réseau auquel la passerelle donne accès. En ZTNA, chaque application est publiée individuellement et l’accès dépend du contexte (identité, posture du terminal, géolocalisation).
Pour les DSI qui gèrent un parc hétérogène avec des postes personnels en télétravail, le ZTNA réduit considérablement la surface d’attaque. Le VPN reste pertinent dans deux cas : l’accès à des applications legacy qui ne supportent pas la publication applicative, et les connexions site à site entre filiales.
Split tunneling et risques de fuite de données
Le split tunneling, qui route uniquement le trafic professionnel dans le tunnel VPN et laisse le reste transiter par la connexion internet locale, améliore la bande passante mais crée un risque. Un poste compromis via sa navigation personnelle peut servir de pivot vers les ressources internes accessibles dans le tunnel.
Désactiver le split tunneling sur les postes accédant à des données sensibles reste la recommandation la plus sûre. Si la bande passante l’impose, nous préconisons un split tunneling inversé : tout le trafic passe par le tunnel sauf une liste blanche de destinations explicitement exclues (mises à jour OS, CDN de visioconférence).
Checklist de sécurité VPN pour les PME en télétravail
Les TPE-PME n’ont pas toujours les ressources d’une DSI structurée, mais les attaquants ne font pas de distinction. Voici les contrôles minimaux à mettre en place sur une infrastructure VPN destinée au télétravail :
- Forcer un protocole de tunneling moderne : WireGuard ou IKEv2/IPsec. Bannir PPTP et les configurations SSL-VPN sans chiffrement fort
- Activer le MFA sur le concentrateur VPN lui-même, pas uniquement sur l’annuaire d’entreprise en amont
- Segmenter le réseau interne pour que l’accès VPN ne donne pas un accès plat à toutes les ressources
- Superviser les connexions anormales : connexion simultanée depuis deux pays, horaires atypiques, volume de données inhabituel
- Tester la configuration tous les trimestres avec un scan de vulnérabilités ciblé sur la passerelle
Ces mesures ne demandent pas un budget conséquent. Elles demandent de la rigueur et un suivi régulier.
VPN gratuit pour les salariés : un faux calcul
Un VPN grand public gratuit n’offre aucune garantie de confidentialité des données professionnelles. Les modèles économiques de ces services reposent souvent sur la monétisation du trafic ou l’injection publicitaire. Pour un usage professionnel, seul un VPN d’entreprise avec un concentrateur maîtrisé en interne ou chez un prestataire de confiance garantit que les flux restent sous contrôle.
Le coût d’un incident de sécurité lié à un accès distant non sécurisé dépasse de très loin celui d’une licence VPN professionnelle, sans compter l’impact sur la couverture d’assurance cyber évoquée plus haut.
La protection des données en télétravail repose sur une chaîne technique dont le VPN n’est qu’un maillon. Un tunnel chiffré sans durcissement de la passerelle, sans MFA et sans segmentation réseau protège surtout sur le papier. Les entreprises qui traitent le VPN comme un projet d’infrastructure à maintenir, et non comme une case à cocher, réduisent concrètement leur exposition aux attaques par accès distant.
