Le credenziali VPN sono i dati di un account - in genere un nome utente e una password, talvolta abbinati a un certificato o a un codice monouso - che consentono di autenticare un utente a una rete privata virtuale. Una VPN può fornire un percorso verso la rete privata di un'organizzazione, quindi credenziali valide possono esporre i servizi interni ad accessi non autorizzati, soprattutto se l'account dispone di ampi privilegi o è privo di ulteriori misure di sicurezza.
Gli aggressori possono usare credenziali rubate, indovinate o riutilizzate per accedere da remoto e poi esplorare i sistemi raggiungibili o tentare di spingersi più in profondità nella rete. I responsabili della difesa dovrebbero proteggere le credenziali con l'autenticazione a più fattori, password univoche, privilegi degli account limitati e monitoraggio degli accessi insoliti. Se le credenziali potrebbero essere state esposte, revocarle o modificarle tempestivamente e controllare i registri degli accessi; una fuga di credenziali, da sola, non prova che un account sia stato utilizzato.