Les entreprises qui déploient un VPN pour sécuriser leurs accès distants partent d’un postulat simple : chiffrer le trafic entre un collaborateur et le réseau interne réduit le risque d’interception. Ce postulat reste valide. Mais les données récentes sur les brèches de sécurité obligent à reconsidérer la place réelle du VPN dans la protection des réseaux d’entreprise, entre outil de défense et surface d’attaque exploitée par les groupes de rançongiciel.
Appliances VPN et rançongiciels : quand la protection devient le vecteur d’attaque
Le rapport Verizon Data Breach Investigations Report 2025 documente une hausse d’environ huit fois en un an de l’exploitation d’équipements de bordure et de VPN dans les brèches par exploitation. Ces équipements apparaissent dans 22 % des incidents d’exploitation analysés.
Coalition, dans son Cyber Claims Report 2025, va plus loin : la compromission de VPN est l’origine confirmée dans 73 % des intrusions réseau où le vecteur initial est identifié. Le schéma est récurrent. Un groupe de rançongiciel exploite une vulnérabilité non corrigée sur une appliance VPN, combine cette faille avec des identifiants volés, puis se déplace latéralement dans le réseau.
Des groupes comme Akira ciblent spécifiquement les VPN Fortinet, Palo Alto Networks, Citrix et Check Point. Le groupe Gunra exploite des failles connues sur FortiGate. Les correctifs existent, mais leur application reste inégale en entreprise.
Ce constat ne signifie pas que le VPN est devenu inutile. Il signifie que le VPN non patché et mal supervisé représente un risque supérieur à l’absence de VPN. Un tunnel chiffré ne protège rien si la porte d’entrée du tunnel est ouverte.
Sécurité VPN d’entreprise : ce que la directive NIS2 exige vraiment
Plusieurs contenus en ligne présentent le VPN comme une obligation réglementaire pour le télétravail en Europe. L’analyse de la directive NIS2 et de son règlement d’exécution (UE) 2024/2690 nuance cette lecture.
L’Union européenne n’impose pas l’usage d’un VPN pour le télétravail. Elle exige des mesures de sécurité réseau adaptées au risque, ce qui peut inclure un VPN, mais aussi d’autres approches.
Les entités soumises à NIS2 doivent démontrer qu’elles appliquent des mesures proportionnées. Le choix de la technologie reste à la discrétion de l’entreprise, tant qu’elle justifie son analyse de risque. Une organisation qui opterait pour une architecture Zero Trust sans VPN classique ne serait pas en infraction, à condition de documenter pourquoi cette architecture répond aux exigences de protection de ses données et de ses connexions.
VPN site à site, accès distant et Zero Trust : arbitrages techniques pour le réseau d’entreprise
Le VPN d’entreprise recouvre en pratique deux usages distincts qui n’exposent pas aux mêmes risques :
- Le VPN d’accès distant connecte un utilisateur (employé, prestataire) au réseau de l’entreprise depuis un poste externe. C’est le cas d’usage le plus ciblé par les attaques, car il expose une passerelle sur internet et repose sur l’authentification de l’utilisateur.
- Le VPN site à site relie deux réseaux d’entreprise (siège et succursale, par exemple) via un tunnel permanent. La surface d’attaque est plus réduite, mais une vulnérabilité sur l’un des deux points d’extrémité compromet l’ensemble du lien.
- L’architecture SASE (Secure Access Service Edge) intègre les fonctions VPN dans une plateforme cloud qui combine filtrage, contrôle d’accès et inspection du trafic. Elle tend à remplacer le VPN classique dans les déploiements récents pour les entreprises à effectifs distribués.
Le modèle Zero Trust part du principe qu’aucun utilisateur ni aucun appareil n’est digne de confiance par défaut, même à l’intérieur du réseau. En revanche, le VPN traditionnel accorde un accès large une fois l’authentification réussie. Cette différence de périmètre explique pourquoi le VPN seul ne suffit plus dans un environnement où les employés se connectent depuis des réseaux variés.
Les retours terrain divergent sur la rapidité de migration vers le Zero Trust. Les grandes entreprises disposant d’équipes sécurité dédiées avancent plus vite. Les TPE et PME restent souvent dépendantes d’un VPN d’accès distant, faute de ressources pour déployer une architecture plus granulaire.
Maintenir un VPN d’entreprise : les points de contrôle concrets
Si le VPN reste le pilier de la connexion distante dans votre entreprise, plusieurs vérifications réduisent concrètement le risque qu’il devienne un vecteur d’intrusion :
- Appliquer les correctifs de sécurité sur les appliances VPN dans un délai court après publication. Les groupes de rançongiciel exploitent des failles connues, souvent patchées depuis des semaines ou des mois.
- Exiger une authentification multifacteur (MFA) pour chaque connexion VPN. Le vol d’identifiants simples (login et mot de passe) reste le complément systématique de l’exploitation de vulnérabilités.
- Segmenter le réseau derrière le VPN pour limiter le déplacement latéral. Un serveur VPN qui donne accès à l’intégralité du réseau interne transforme une brèche ponctuelle en compromission totale.
- Surveiller les journaux de connexion VPN en temps réel. Une connexion à 3 h du matin depuis une géolocalisation inhabituelle mérite une alerte, pas un archivage silencieux.
Un VPN correctement maintenu protège encore efficacement les données en transit. Le problème documenté par les rapports récents ne concerne pas le protocole de chiffrement lui-même, mais la gestion opérationnelle des équipements qui le portent.
La protection des réseaux d’entreprise par VPN n’est pas un sujet binaire. Le chiffrement des connexions entre employés distants et ressources internes garde sa pertinence, à condition que l’appliance VPN ne devienne pas le maillon faible du dispositif.
Les données de Verizon et Coalition montrent que c’est précisément ce qui se produit quand la maintenance et la supervision passent au second plan. Le VPN protège le réseau d’entreprise, sauf quand il le compromet – et la frontière entre les deux tient à des pratiques d’hygiène technique plus qu’à un choix de solution.
