Initial Access Broker (IAB)

24 июня, 2026, 20:47

IAB (Initial Access Broker, Брокер первоначального доступа) — это специализированный киберпреступник или группа, чья основная деятельность заключается в получении несанкционированного доступа к корпоративным сетям и системам с последующей продажей этого доступа другим злоумышленникам (например, операторам программ-вымогателей). IAB не проводят финальные атаки, такие как шифрование данных или вымогательство, а фокусируются исключительно на начальном этапе компрометации, действуя как «субподрядчики» в цепочке поставок киберпреступности.

Основные возможности и методы работы:

  • Методы получения доступа: используют кражу учетных данных (фишинг, стилеры, брутфорс), эксплуатацию известных уязвимостей (CVE) в публичных сервисах (VPN, Citrix, Microsoft Exchange), а также подбор паролей и credential stuffing.
  • Монетизация: закрепляются в сети (создают скрытые учетные записи, веб-шеллы) и выставляют доступ на продажу на теневых форумах (XSS, RAMP, Exploit) с указанием отрасли, страны, дохода компании, типа доступа и уровня привилегий. Цены варьируются от $500 до $3,000, а в отдельных случаях достигают $50,000.
  • Специализация: не занимаются обходом EDR или удалением бэкапов — их ценность заключается именно в предоставлении проверенного входа в сеть, часто с правами администратора домена.

IAB превратили начальный доступ в товар («access-as-a-service»), что значительно ускоряет и упрощает проведение атак, особенно в модели Ransomware-as-a-Service (RaaS). В 2024-2025 годах наблюдается смещение в сторону большего количества недорогих доступов (менее $1,000), нацеленных на средний бизнес. Для защиты рекомендуется внедрение многофакторной аутентификации, мониторинг даркнет-форумов на предмет продажи доступа к своей сети и регулярный аудит всех точек входа (VPN, RDP, SSH).

Крупнейшие ИБ-компании России. Рейтинг SecPost и оценки динамики рынка

Упоминания