很多人觉得 VPN 就是“安全”的代名词，但安全专家的最新警告恰恰相反：对企业而言，传统 VPN 正成为勒索软件团伙最常用的入口之一。注意，这里说的主要是企业远程办公用的 VPN，和个人翻墙用的服务不完全是一回事，但道理有相通之处。
为什么黑客盯上 VPN
VPN 的设计是在外部和公司内网之间开一条“可信隧道”，一旦进入，就能直接触达内部资源，所以对攻击者来说是理想的“前门”。据报道，Qilin、INC、LockBit、BlackCat 等勒索团伙的攻击都曾追溯到被入侵的 VPN。常见手法有三类：
- 使用在暗网买到的被盗登录凭据；
- 利用 VPN 软件未修补的漏洞；
- 劫持正在使用的用户会话。
混合办公兴起后，很多公司匆忙给大量员工开通远程访问，安全设计和网络分段往往被放在后面。结果就是：一个 VPN 密码被攻破，攻击者就拿到了进入系统的钥匙。
解决思路：零信任（ZTNA）
零信任网络访问的原则是“谁都不默认信任”：不是连上网络就能访问一切，而是验证用户身份后，只给他访问所需应用的权限。专家给企业的建议包括：
- 用零信任控制补充或替换旧 VPN；
- 使用安全密钥、通行密钥（passkey）等抗钓鱼的登录方式；
- 及时修补 VPN 漏洞；
- 监控异常的远程访问行为；
- 做好网络分段，VPN 用户不应能访问整个内网。
对个人用户的参考
个人用户无需自建零信任体系，但可以做到：选择有公开隐私政策、更新及时的服务；保护好账号和订阅链接；只从官方渠道下载客户端。也可以看看站内相关案例：strongSwan 存在 15 年的漏洞：一个畸形数据包就能让 VPN 崩溃。
常见问题（FAQ）
那我还要不要用 VPN？要用，但别把它当成万能保险。关键是及时更新、强认证、权限最小化。
参考来源
本文综合整理自网络安全专家对勒索软件入侵途径的公开警告及相关媒体报道。