Przez ponad dwie dekady sieci VPN (Virtual Private Network) stanowiły podstawowy mechanizm zapewniający bezpieczny dostęp zdalny do zasobów przedsiębiorstw. W czasach, gdy większość pracowników wykonywała swoje obowiązki z biur, a zagrożenia cybernetyczne rozwijały się stosunkowo powoli, model oparty na zaufanym połączeniu z siecią firmową był wystarczający.

Autor: 20 min czytania

Dynamiczny rozwój sztucznej inteligencji diametralnie zmienił jednak sposób prowadzenia cyberataków. Dzisiaj cyberprzestępcy wykorzystują algorytmy AI do automatyzacji rozpoznania, tworzenia spersonalizowanych kampanii phishingowych, wyszukiwania podatności oraz prowadzenia ataków z prędkością nieosiągalną dla tradycyjnych zespołów bezpieczeństwa.

Raport ThreatLabz VPN Risk Report 2026, opracowany przez Zscaler we współpracy z Cybersecurity Insiders na podstawie badań przeprowadzonych wśród 822 specjalistów IT i cyberbezpieczeństwa, pokazuje, że klasyczne rozwiązania VPN coraz częściej nie tylko okazują się niewystarczające, ale wręcz zwiększają ryzyko bezpieczeństwa organizacji. Wyniki badania wskazują, że przedsiębiorstwa doskonale rozumieją zagrożenia związane z architekturą VPN, jednak proces przechodzenia do modelu Zero Trust nadal przebiega zbyt wolno w stosunku do tempa rozwoju cyberataków. Podobną tezę wysunęliśmy już w sierpniu 2024 roku, o czym możecie się przekonać tutaj.

Jakie jest główne przesłanie raportu? Największym problemem nie są już pojedyncze podatności czy błędy konfiguracyjne. Problemem staje się sama architektura, oparta na zaufaniu do użytkownika po jednorazowym uwierzytelnieniu. W świecie, w którym ataki realizowane przez sztuczną inteligencję rozwijają się w ciągu minut, tradycyjny model bezpieczeństwa przestaje spełniać swoją funkcję.

Sztuczna inteligencja napędza nową falę cyberataków

Pierwszym alarmującym wnioskiem z raportu jest skala wykorzystania sztucznej inteligencji przez cyberprzestępców. Aż 61% ankietowanych organizacji potwierdziło, że w ciągu ostatnich dwunastu miesięcy padło ofiarą ataków wspomaganych przez AI lub podejrzewa, że tak się stało. Jednocześnie jedynie 5% respondentów uważa, że ich obecna infrastruktura VPN jest zdolna do wykrywania i blokowania tego typu zagrożeń.

Oznacza to ogromną dysproporcję pomiędzy tempem rozwoju metod ataku a możliwościami tradycyjnych systemów ochrony. Co więcej, co piąta organizacja nie potrafi nawet odróżnić ataku wykorzystującego sztuczną inteligencję od klasycznego incydentu bezpieczeństwa. W praktyce rzeczywista liczba takich incydentów może być znacznie większa, niż wynika z oficjalnych statystyk.

Tradycyjne systemy monitorowania ruchu VPN często nie zapewniają odpowiedniej widoczności zdarzeń, przez co wiele incydentów pozostaje niewykrytych aż do momentu wystąpienia realnych strat.

Wyścig z czasem jest już przegrany

Drugim niezwykle istotnym problemem jest gwałtowne skrócenie się czasu pomiędzy ujawnieniem podatności a jej wykorzystaniem przez cyberprzestępców.

Jeszcze kilka lat temu administratorzy dysponowali dniami lub nawet tygodniami na analizę zagrożenia oraz wdrożenie poprawek bezpieczeństwa. Obecnie ten komfort praktycznie zniknął. Według danych przywołanych w raporcie średni czas przejęcia środowiska przez grupy cyberprzestępcze wynosi zaledwie 29 minut, a najszybsze udokumentowane przypadki trwały jedynie 27 sekund.

Na tym tle możliwości większości organizacji wypadają bardzo słabo. Zaledwie 6% badanych przedsiębiorstw jest w stanie wdrożyć krytyczne poprawki dla infrastruktury VPN w ciągu jednej doby. Ponad połowa potrzebuje na to tydzień lub więcej. W praktyce oznacza to, że atakujący bardzo często wykorzystują podatność jeszcze zanim administratorzy rozpoczną proces aktualizacji systemów.

Autorzy raportu wskazują również, że liczba podatności dotyczących urządzeń VPN systematycznie rośnie. W ciągu ostatnich pięciu lat liczba publikowanych luk bezpieczeństwa urosła o ponad 80%, a większość nowych podatności otrzymuje ocenę wysokiego lub krytycznego ryzyka. Administratorzy funkcjonują więc w stanie ciągłego reagowania na kolejne zagrożenia, zamiast koncentrować się na strategicznym podnoszeniu poziomu bezpieczeństwa.

Kradzież poświadczeń – najłatwiejsza droga do sieci

Kolejnym problemem jest sposób działania współczesnych kampanii phishingowych. W przeszłości przygotowanie wiarygodnej wiadomości phishingowej wymagało czasu oraz znajomości organizacji będącej celem ataku. Obecnie generatywna sztuczna inteligencja pozwala na tworzenie spersonalizowanych wiadomości praktycznie natychmiast, dostosowując ich treść do stanowiska i języka konkretnego użytkownika.

W efekcie cyberprzestępcy coraz częściej nie próbują włamywać się do systemów, lecz po prostu logują się przy użyciu skradzionych danych uwierzytelniających. To właśnie kradzież poświadczeń została uznana przez respondentów za największe zagrożenie dla infrastruktury VPN.

Atakujący wykorzystują phishing, złośliwe oprogramowanie typu infostealer, fałszywe instalatory klientów VPN oraz automatyczne kampanie brute force. Po uzyskaniu prawidłowego loginu i hasła klasyczny VPN traktuje użytkownika jako zaufanego i przyznaje mu szeroki dostęp do zasobów organizacji. Model ten powstał w czasach, gdy zakładano, że poprawne uwierzytelnienie jest wystarczającym dowodem wiarygodności użytkownika. Współczesne realia pokazują jednak, że takie założenie przestało być prawdziwe.

Zero Trust jako odpowiedź na współczesne zagrożenia

Autorzy raportu podkreślają, że właśnie w związku z tymi zmianami architektura Zero Trust zdobywa coraz większą popularność. Jej podstawową zasadą jest ciągła weryfikacja tożsamości użytkownika, stanu urządzenia oraz kontekstu wykonywanego połączenia.

Zaufanie nie jest przyznawane jednorazowo podczas logowania, lecz budowane i weryfikowane przez cały czas trwania sesji. Dzięki temu przejęcie pojedynczego konta nie oznacza automatycznie pełnego dostępu do całej infrastruktury przedsiębiorstwa.

To właśnie odejście od modelu „uwierzytelnij raz i ufaj zawsze” stanowi główny kierunek zmian wskazywany w raporcie. Kolejne rozdziały pokazują, że problemy związane z VPN nie kończą się na kradzieży danych uwierzytelniających. Znacznie poważniejsze zagrożenia pojawiają się dopiero, gdy napastnik uzyska dostęp do sieci organizacji.

Niewidoczne zagrożenia ukryte w szyfrowanych tunelach VPN

Jedną z największych zalet technologii VPN od zawsze było szyfrowanie transmisji danych. Mechanizm ten skutecznie chroni poufność informacji przesyłanych pomiędzy użytkownikiem a siecią przedsiębiorstwa. Paradoksalnie jednak właśnie ta cecha stała się obecnie jednym z największych wyzwań dla zespołów odpowiedzialnych za cyberbezpieczeństwo.

Autorzy raportu zwracają uwagę, że ten sam zaszyfrowany tunel, który zabezpiecza legalną komunikację pracownika, może równie skutecznie ukrywać działania cyberprzestępców. Złośliwe oprogramowanie, komunikacja z serwerami dowodzenia (Command and Control), a nawet wyprowadzanie danych poza organizację odbywają się często dokładnie tym samym kanałem komunikacyjnym co zwykły ruch użytkowników. Dla klasycznych urządzeń VPN wszystko wygląda identycznie – widoczny jest jedynie zaszyfrowany strumień danych.

Badanie pokazuje skalę tego problemu. Jedna trzecia organizacji nie analizuje żadnego zaszyfrowanego ruchu przechodzącego przez VPN. Kolejne 27% jest w stanie monitorować mniej niż jedną czwartą całej komunikacji. Oznacza to, że aż 60% przedsiębiorstw posiada bardzo ograniczoną wiedzę o tym, co faktycznie dzieje się wewnątrz szyfrowanych połączeń. Jedynie 8% respondentów deklaruje możliwość prowadzenia niemal pełnej analizy ruchu VPN.

Szczególnie niebezpieczne staje się to w kontekście wykorzystania sztucznej inteligencji przez cyberprzestępców. Aż 70% organizacji przyznaje, że posiada ograniczoną lub żadną widoczność ataków AI przechodzących przez tunele VPN. Oznacza to, że wiele incydentów może rozwijać się przez długi czas bez wykrycia.

Lateral Movement – gdy jeden incydent prowadzi do przejęcia całej infrastruktury

Uzyskanie dostępu do sieci przedsiębiorstwa jest dla współczesnych grup cyberprzestępczych jedynie początkiem operacji. Znacznie ważniejszym etapem jest tzw. lateral movement, czyli przemieszczanie się pomiędzy kolejnymi systemami wewnątrz organizacji.

Raport wskazuje, że tradycyjne rozwiązania VPN nadal zapewniają użytkownikowi dostęp przede wszystkim do całej sieci, a nie wyłącznie do konkretnej aplikacji potrzebnej do wykonywania obowiązków służbowych. W praktyce oznacza to, że przejęcie jednego konta użytkownika może umożliwić napastnikowi swobodne przemieszczanie się pomiędzy serwerami, bazami danych oraz kolejnymi segmentami infrastruktury.

Dane przedstawione w raporcie są jednoznaczne. Jedynie 11% organizacji potrafi ograniczyć przejętą sesję użytkownika do jednej aplikacji. W 32% przedsiębiorstw skradzione dane logowania zapewniają dostęp praktycznie do całej sieci, natomiast 14% respondentów nie potrafi nawet określić, jaki byłby rzeczywisty zasięg takiego włamania.

Jeszcze mocniej niepokoi fakt, że 56% badanych organizacji nie stosuje segmentacji dostępu na poziomie poszczególnych aplikacji, a niemal jedna czwarta zapewnia użytkownikom praktycznie nieograniczony dostęp po poprawnym uwierzytelnieniu. Nic więc dziwnego, że 81% specjalistów uznaje lateral movement za jedno z najważniejszych zagrożeń, podczas gdy aż 77% przyznaje jednocześnie, iż ich organizacja nie posiada skutecznych mechanizmów do jego powstrzymania.

Jedno hasło może otworzyć całą firmę

Raport wielokrotnie podkreśla, że największym problemem współczesnych sieci VPN są kradzione dane uwierzytelniające. To właśnie one zostały wskazane jako najczęstsza przyczyna skutecznych ataków, główny wektor infekcji ransomware oraz największe zagrożenie architektoniczne klasycznych rozwiązań dostępu zdalnego.

Autorzy raportu zwracają uwagę, że cyberprzestępcy coraz częściej nie koncentrują się na wyszukiwaniu podatności technicznych. Znacznie prostszym rozwiązaniem jest zakup gotowych danych logowania na podziemnych forach internetowych lub pozyskanie ich za pomocą kampanii phishingowych wspieranych przez sztuczną inteligencję.

Szczególnym problemem pozostają konta partnerów biznesowych oraz firm zewnętrznych. Ponad połowa organizacji nie prowadzi regularnych audytów uprawnień takich użytkowników lub nie potrafi jednoznacznie odpowiedzieć, czy takie kontrole w ogóle są wykonywane. Pozostawione aktywne konta dostawców usług mogą przez wiele miesięcy stanowić łatwy punkt wejścia dla cyberprzestępców.

VPN jako ulubiona droga ataków ransomware

Jednym z najciekawszych fragmentów raportu jest analiza zależności pomiędzy rozwiązaniami VPN a współczesnymi kampaniami ransomware.

Autorzy wskazują, że skuteczny atak ransomware wymaga spełnienia trzech warunków: uzyskania dostępu do organizacji, możliwości swobodnego przemieszczania się po sieci oraz odpowiednio długiego czasu na uruchomienie procesu szyfrowania danych. Tradycyjna architektura VPN bardzo często spełnia wszystkie te wymagania jednocześnie.

Przywołane w raporcie przykłady pokazują, że niektóre grupy przestępcze potrafią przejść od pierwszego logowania do rozpoczęcia szyfrowania danych w czasie krótszym niż dwie godziny. Z kolei grupa Akira miała uzyskać ponad 42 miliony dolarów dzięki kampaniom wykorzystującym podatności i błędy konfiguracji infrastruktury VPN.

Najczęściej wskazywanym punktem wejścia pozostają skradzione dane uwierzytelniające. Następnie napastnicy wykorzystują brak segmentacji sieci, przemieszczają się pomiędzy kolejnymi systemami i dopiero na końcu uruchamiają proces szyfrowania danych. Raport pokazuje, że wszystkie te etapy nadal są możliwe do przeprowadzenia w znacznej części badanych organizacji, co tłumaczy rosnącą skuteczność współczesnych kampanii ransomware.

VPN to także koszt biznesowy

Problemy związane z tradycyjnymi rozwiązaniami VPN nie ograniczają się do kwestii bezpieczeństwa. Raport zwraca uwagę, że utrzymywanie takiej infrastruktury generuje również znaczące koszty operacyjne, często niedostrzegane. Składają się na nie czas poświęcany przez administratorów na aktualizacje i usuwanie awarii, zwiększona liczba zgłoszeń do działów wsparcia technicznego oraz spadek produktywności użytkowników.

Najbardziej wymownym wskaźnikiem jest fakt, że 63% organizacji przyznaje, iż pracownicy świadomie omijają firmowy VPN, aby szybciej uzyskać dostęp do aplikacji. Gdy użytkownicy uznają zabezpieczenia za przeszkodę utrudniającą wykonywanie obowiązków, zaczynają szukać alternatywnych sposobów pracy. W efekcie powstają tzw. shadow IT oraz nieautoryzowane kanały komunikacji, znacznie trudniejsze do monitorowania i zabezpieczenia.

Najczęściej zgłaszanymi problemami są niska wydajność połączeń, niestabilna praca na różnych urządzeniach oraz częste rozłączanie sesji. Łącznie problemy wydajnościowe odpowiadają za niemal trzy czwarte wszystkich skarg użytkowników. Jednocześnie 45% organizacji zauważa wyraźny spadek produktywności pracowników wynikający z korzystania z tradycyjnego VPN.

Z perspektywy zespołów bezpieczeństwa sytuacja wygląda podobnie. Administratorzy coraz więcej czasu poświęcają na utrzymanie infrastruktury VPN – instalowanie poprawek, analizowanie podatności i rozwiązywanie problemów technicznych – zamiast koncentrować się na ochronie najważniejszych zasobów organizacji. W efekcie samo narzędzie bezpieczeństwa zaczyna generować dodatkowe ryzyko operacyjne.

Państwowe grupy APT coraz częściej wykorzystują VPN

Raport podkreśla, że podatności w rozwiązaniach VPN są wykorzystywane nie tylko przez cyberprzestępców nastawionych na zysk. Coraz częściej stają się one celem zaawansowanych grup sponsorowanych przez państwa.

Autorzy przypominają kampanie prowadzone przez grupy Volt Typhoon oraz Salt Typhoon, które przez wiele miesięcy pozostawały niewykryte w infrastrukturze krytycznej. Atakowane były między innymi przedsiębiorstwa energetyczne, operatorzy telekomunikacyjni oraz instytucje administracji publicznej. W wielu przypadkach napastnicy wykorzystywali podatności urządzeń brzegowych, takich jak koncentratory VPN, zapory sieciowe oraz bramy dostępu zdalnego.

Raport przywołuje również działania grup powiązanych z Chinami, wykorzystujących podatności typu zero-day w urządzeniach Cisco ASA oraz Ivanti. Szczególnie niebezpieczne okazały się przypadki, w których złośliwe oprogramowanie potrafiło przetrwać restart urządzenia, a nawet przywrócenie ustawień fabrycznych. W takich sytuacjach jedynym zaleceniem amerykańskiej agencji CISA było całkowite odłączenie urządzenia od sieci.

W badaniu ponad połowa organizacji przyznała, że w ciągu ostatnich dwunastu miesięcy doświadczyła incydentu bezpieczeństwa związanego z infrastrukturą VPN. Wynik ten pokazuje, że problem nie dotyczy wyłącznie administracji państwowej czy operatorów infrastruktury krytycznej, ale praktycznie wszystkich sektorów gospodarki.

Zero Trust przestaje być wyborem

Jednym z najważniejszych wniosków płynących z raportu jest fakt rosnącej popularności architektury Zero Trust. Jeszcze kilka lat temu traktowano ją jako kierunek rozwoju nowoczesnych systemów bezpieczeństwa. Obecnie coraz więcej organizacji postrzega ją jako konieczność.

Badanie pokazuje, że 84% przedsiębiorstw już wdraża model Zero Trust lub planuje jego implementację w najbliższych latach. Jednocześnie ponad połowa organizacji deklaruje stopniowe ograniczanie wykorzystania klasycznych rozwiązań VPN.

Najważniejszym motywem migracji jest ograniczenie możliwości przemieszczania się napastników pomiędzy systemami po uzyskaniu dostępu do sieci. Równie istotne okazują się uproszczenie zarządzania bezpieczeństwem, poprawa segmentacji aplikacji oraz zwiększenie odporności na ataki ransomware.

Model Zero Trust zakłada całkowicie odmienne podejście do dostępu zdalnego. Użytkownik nie otrzymuje dostępu do całej sieci organizacji, lecz wyłącznie do konkretnej aplikacji, niezbędnej do wykonywania obowiązków. Każde kolejne żądanie dostępu jest ponownie oceniane z uwzględnieniem tożsamości użytkownika, stanu urządzenia, lokalizacji oraz innych czynników ryzyka. Dzięki temu nawet skuteczne przejęcie konta nie oznacza automatycznie kompromitacji całego środowiska IT.

Prognozy na najbliższe lata

Autorzy raportu przewidują, że rozwój sztucznej inteligencji będzie nadal zwiększał tempo prowadzenia cyberataków. Kampanie phishingowe staną się jeszcze bardziej wiarygodne, automatyczne wyszukiwanie podatności będzie szybsze, a czas pomiędzy ujawnieniem luki bezpieczeństwa a rozpoczęciem jej wykorzystywania nadal będzie się skracał.

Zmieni się również charakter uwierzytelniania użytkowników. Coraz częściej celem ataków będą nie tylko hasła, ale także mechanizmy uwierzytelniania wieloskładnikowego, procesy resetowania haseł, rejestracja nowych urządzeń czy próby zmęczenia użytkowników wielokrotnymi powiadomieniami MFA.

Jednocześnie organizacje będą stopniowo odchodziły od modelu „Authenticate Once, Trust Always” na rzecz ciągłej weryfikacji tożsamości, urządzenia i kontekstu każdej sesji. To właśnie taki model autorzy raportu uznają za jedyną skuteczną odpowiedź na ataki prowadzone z prędkością maszyn.

Podsumowanie

Raport ThreatLabz VPN Risk Report 2026 pokazuje wyraźnie, że tradycyjna architektura VPN przestaje odpowiadać wymaganiom współczesnego środowiska cyberzagrożeń. Sztuczna inteligencja radykalnie skróciła czas prowadzenia ataków, zwiększyła skuteczność phishingu oraz umożliwiła automatyzację działań, które jeszcze kilka lat temu wymagały znacznego zaangażowania człowieka.

W tej rzeczywistości największym problemem nie są pojedyncze podatności czy opóźnienia w instalowaniu poprawek. Ograniczeniem staje się sama koncepcja budowania bezpieczeństwa wokół zaufanego połączenia VPN. Jednorazowe uwierzytelnienie użytkownika, szeroki dostęp do sieci oraz niewystarczająca kontrola zaszyfrowanego ruchu tworzą środowisko sprzyjające zarówno cyberprzestępcom, jak i zaawansowanym grupom sponsorowanym przez państwa.

Dlatego coraz więcej organizacji traktuje migrację do architektury Zero Trust nie jako projekt modernizacyjny, lecz jako strategiczną inwestycję w odporność cyfrową. Ciągła weryfikacja tożsamości, dostęp wyłącznie do niezbędnych aplikacji, pełna inspekcja ruchu oraz automatyczne mechanizmy wykrywania zagrożeń stają się fundamentem nowoczesnego modelu ochrony. W erze ataków wspieranych przez sztuczną inteligencję to właśnie szybkość wykrywania i ograniczania skutków incydentów, a nie sama ochrona granicy sieci, decyduje o poziomie bezpieczeństwa organizacji.