| アクセスブローカー（IAB）とは？企業への侵入口が売買される仕組みと対策 | |
|---|---|
| 作成日時 26/09/17 (09:38) | View 81 |
ランサムウェア被害の多くは、攻撃者がゼロから自力で侵入するのではなく、あらかじめ用意された侵入口を購入するところから始まっています。
IBM X-Force Threat Intelligence Index 2024によると、2023年に確認された初期侵入経路の30%が窃取された有効な認証情報の悪用で、これを用いた攻撃は前年から71%増加し、フィッシングと並ぶ最多の侵入経路になりました。
同様に警察庁の令和7年におけるサイバー空間をめぐる脅威の情勢等についてによれば、令和7年のランサムウェア被害報告件数は226件と依然高水準で、被害組織へのアンケートでは侵入経路の6割以上をVPN機器が占めました。
攻撃者は、未修正の脆弱性、漏えいした認証情報や簡易なパスワード、設定不備を悪用して組織のネットワークへ入り込んでいるのが実情です。
この数字の裏側にいるのが、侵入口の調達だけを専門に請け負うアクセスブローカーです。
攻撃者が偵察から侵入までを一人でこなす時代は終わり、侵入を売る者、恐喝を実行する者、マルウェアを開発する者へと役割が分かれました。この分業がサイバー攻撃の敷居を劇的に下げ、攻撃件数の増加を支えています。
本記事では、アクセスブローカーの正体とよく混同されるCASBとの違い、アクセスが商品として売買される市場の仕組み、攻撃チェーンにおける位置づけ、そして組織が取るべき対策までを、脅威インテリジェンスの視点から解説します。
アクセスブローカー（Initial Access Broker：IAB、イニシャルアクセスブローカー）とは、企業や組織のシステムへの不正アクセス手段をあらかじめ入手し、それをランサムウェア攻撃者などの別のサイバー犯罪者に販売することを専門にする仲介業者です。
イニシャルアクセスブローカーや初期アクセスブローカーとも呼ばれ、本記事ではこれらを同じ意味の言葉として扱います。
IABは、盗んだデータを直接換金するわけでも、身代金を要求するわけでもありません。彼らが売るのは、あくまで組織のネットワークに入り込むための入場券です。攻撃全体を一本の流れとして見ると、IABは最上流に立ち、そこから下流の買い手が本格的な攻撃を進めていく構図になります。
この分業こそが、現代のサイバー攻撃を理解するうえで欠かせない視点です。
アクセスブローカーという言葉を検索すると、CASBという製品の解説が数多く表示されます。アルファベットの並びや語感は似ていますが、両者は正反対の存在です。
CASB（クラウドアクセスセキュリティブローカー）とは、社員が利用するクラウドサービスの通信を可視化し、アクセスを制御して情報漏洩を防ぐ、企業向けの正規のセキュリティ製品です。
守る側が導入する防御ソリューションで、SaaSの利用状況を管理してシャドーITを抑えるために使われます。
一方、本記事で扱うアクセスブローカー（IAB）は、企業への侵入口を攻撃者に売り渡す犯罪者です。同じアクセスとブローカーという単語を含みながら、CASBが守る側の道具として使われるのに対し、IABは攻める側のプレイヤーにあたります。
目的も立場も完全に逆です。この違いを最初に押さえておかないと、以降の内容を読み違えてしまいます。
かつてのサイバー攻撃は、攻撃者が標的の偵察から侵入、内部活動、換金までを一貫して手がけるものでした。
しかし現代では、それぞれの工程が専門業者に分かれ、地下経済の中で分業が確立しています。侵入口を調達するIAB、その入口を買って暗号化と恐喝を実行するランサムウェア運用者、攻撃ツールを開発して貸し出す開発者という具合に、役割が細かく分業化されました。
この構造を「サイバー犯罪の産業化」と呼びます。
ダークウェブ上には侵入口や攻撃ツールを売買する市場が成熟し、技術力の乏しい犯罪者でも、必要な部品を買いそろえるだけで攻撃を仕掛けられるようになりました。
警察庁も、ランサムウェアの開発・運営者が実行者に攻撃環境を提供して身代金の一部を受け取るRaaS（Ransomware as a Service）の広がりにより、高度な技術的専門知識を持たない者でも攻撃が可能になり、攻撃者の裾野が広がっていると分析しています。
地下市場がどのように経済圏として機能しているかは、ダークウェブの闇マーケットの仕組みを解説した記事でも取り上げています。
侵入口が商品として流通することで、攻撃を始めるコストと技術的なハードルは大きく下がりました。被害が高止まりを続ける一因が、この侵入口を安定供給するIABの存在です。
アクセスブローカーには彼らなりの仕入れ経路があり、その中身は防御側が守るべき場所とちょうど表裏の関係にあります。以下では、攻撃者の視点から調達経路を分解していきます。
IABの調達経路として代表的なのが、インターネットに公開された機器の脆弱性を突く手口です。
Shodanのような検索サービスを使えば、外部からアクセスできる機器を条件で絞り込めます。攻撃者はここで未パッチのVPN機器や公開サーバ、リモートデスクトップ（RDP）を探し出し、既知の脆弱性を突いて侵入し、認証情報を窃取します。
この経路が国内でどれほど効いているかは、統計に明確に表れています。冒頭で触れたとおり、警察庁のアンケートでは、ランサムウェア被害組織の侵入経路の6割以上をVPN機器が占めました。
境界に露出したVPN機器やRDPは常に外部からの攻撃にさらされており、パッチ適用が一日遅れるだけでも侵入の窓口になります。公開直後の脆弱性を悪用する動きについては、ゼロデイ攻撃を解説した記事もあわせてご覧ください。
技術力の高いIABは自ら脆弱性を突く一方、それを持たないIABは、窃取作業だけを別の攻撃者に委託することもあります。
IABにとって最大の仕入れ元になっているのが、インフォスティーラーが集めた認証情報のログです。
インフォスティーラーとは、感染した端末からブラウザ保存のIDやパスワード、セッション情報を自動で抜き取るマルウェアです。抜き取られた大量の認証情報はボット市場と呼ばれる地下市場で流通し、IABはそこからログを購入したり交換したりして、自社の在庫を積み増していきます。
つまり、末端の端末で盗まれた一つのパスワードが、ログ市場を経由してIABの手に渡り、検証されたうえで企業の侵入口として転売されるという分業が成り立っているわけです。
この脅威は各国の法執行機関も重く見ており、令和7年6月には、INTERPOLが主導しアジア・南太平洋の26か国の捜査機関が参加した国際共同捜査により、インフォスティーラー関連のC2サーバがテイクダウンされました。日本警察も参加し、国内で129台のサーバが停止しています。
感染端末から認証情報が抜かれる仕組みはインフォスティーラー対策の記事で詳しく解説しています。
仕入れ元はログ市場だけではありません。
フィッシングで直接だまし取った認証情報、パスワードスプレー攻撃やクレデンシャルスタッフィングで当てたIDとパスワードも、同じように商品化されます。
多くの利用者がパスワードを使い回しているため、あるサービスで盗んだ認証情報が別のクラウドサービスでも通ってしまい、検証をパスしたものが販売リストに加えられていきます。
ここまで見た仕入れ経路を経て集められた侵入口は、ダークウェブ上でどう取引されるのでしょうか。その商品構造を具体的に見ていきます。
ダークウェブで頻繁に取引されるアクセスには種類があります。RDPアクセス、VPNアクセス、Active Directoryやドメイン管理者の権限、Webシェル、そして一般ユーザーの有効な認証情報です。侵入後にどこまで動けるかが、そのまま商品価値を左右します。
価格は、握れる権限の高さと標的企業の規模で決まります。
KELAの分析レポートでは、ネットワークアクセスの平均販売価格は5,400ドル、中央値は1,000ドルとされ、年商5億ドル規模の企業へのアクセスには12ビットコイン、国家政府へのアクセスには10万ドルという高値がついた事例も報告されています。
一方で近年は価格の分布が下方に広がっており、2024年の取引を分析したレポートによれば、平均価格は2,047ドル、出品の86%が3,000ドル未満、58%が1,000ドル未満に収まっていました。
つまり、数千円から数万円で企業の入口が買える市場になっているということです。自社のアクセスがいくらで値付けされるのかという生々しい実態は、ダークウェブのプライスリストを公開した記事でも紹介しています。
アクセス権の販売方法は大きく3類型に整理できます。
一つ目は小規模販売です。
たまたま脆弱なネットワークに侵入できた小規模な業者が、一つか少量のアクセス権を売って小遣いを稼ぐケースで、売り手の実態は熟練したハッカーから公開ツールを使うだけのスクリプトキディまで幅があります。
二つ目は専門業者による販売です。
中長期的にアクセス権販売をビジネスとして営む専門IABが、アンダーグラウンドフォーラムに専用カテゴリを設け、サービスとしてアクセスを提供します。侵入のリソースを持たないランサムウェアグループは、こうした専門業者から入口を買って攻撃の効率を上げます。
三つ目がショッピングサイト型です。
RDPショップやVPNショップと呼ばれる自動化された市場では、国や都市、ISP、OS、管理者権限の有無、特定の企業名といった条件で在庫を検索し、クリック一つでアクセスを購入できます。
売買はほぼ完全にサービス化され、RDP提供は5ドルからという価格帯まで存在します。
市場の量そのものも拡大を続けており、Group-IBの分析では、企業アクセスの販売投稿数が半期あたり1,099件から2,348件へと1年で倍増し、活動するIABの数も262から380へ増えたことが報告されています。
侵入口の売買は、もはや成熟した自動化市場になっているのです。
IABが売った侵入口は、買い手によって本格的な攻撃へと変わります。
ここではIABが攻撃チェーンのどこに立ち、その後に何が起きるのかを、攻撃者の戦術を体系化したMITRE ATT&CKに沿って整理します。IABは攻撃チェーンの最上流に立ち、被害の本体は買い手が起こすという分業構造がここで見えてきます。
MITRE ATT&CKでは、攻撃者が組織内に最初の足がかりを得る段階をInitial Access（TA0001）という戦術に分類しています。IABが提供するアクセスは、まさにこの初期侵入の段階を丸ごと肩代わりするものです。
とりわけIABの商品は、二つの技術に直結します。
一つはT1078（Valid Accounts）で、盗んだ正規の認証情報でログインする手口です。正規アカウントを使うため、防御側から見ると通常の利用と区別しにくく、検知が遅れがちになります。
もう一つはT1133（External Remote Services）で、VPNやRDPといった外部リモートサービス経由で侵入する手口です。IABが扱うRDPアクセスやVPNアクセスは、この技術にそのまま対応します。
買い手は、これらの侵入口を買うだけで、偵察も脆弱性探索も飛ばして組織内部に入り込めるのです。
IABから入口を買ったランサムウェア運用者やAPTグループは、そこを足場に本格的な攻撃を始めます。
まず侵入した端末を起点に、認証情報をさらに集めながら隣のサーバへと移動していきます。この内部移動を横展開（ラテラルムーブメント）と呼び、最終的にはドメイン全体を掌握して重要データへ到達します。
攻撃者がいかに速く内部を動くかは、ラテラルムーブメントを解説した記事で詳しく取り上げています。
権限を握った攻撃者は、データを暗号化して業務を止めるだけでなく、暗号化の前に機密データを盗み出し、身代金を払わなければ公開すると脅す二重恐喝へと進みます。警察庁も、近年は二重恐喝が被害の多くを占め、財務情報や個人情報がダークウェブ上のリークサイトに掲載される事例が多数確認されていると報告しています。
標的を狙って長期間潜伏するAPTグループも、同じようにIABの侵入口を出発点にすることがあり、その手口はAPT攻撃の記事にまとめています。重要なのは、IABは入口を売るだけで、暗号化も窃取も恐喝も買い手が実行するという点です。
被害の本体は、入口が売られた後の下流で起きています。
IABの存在は、自社にとって具体的に何を意味するのでしょうか。攻撃チェーンの最上流に侵入口の供給源がいるという事実は、経営層や情シス部門が向き合うべき二つのリスクを浮かび上がらせます。
IABは、今日のランサムウェア攻撃の主要な起点になっています。
前述のとおり侵入口の調達コストが大きく下がったことで、自力で侵入する技術を持たない犯罪者でも、入口さえ買えば攻撃を始められるようになりました。これが被害の裾野を広げています。
トレンドマイクロが公表情報から集計した2024年1月から3月のインシデント原因を見ると、最多はアカウント認証の突破で22件、次いで脆弱性の悪用が10件、設定ミスが3件でした。上位を占めるのは、まさにIABが商品として扱う認証情報と脆弱性です。
そして被害が生じたときの代償は軽くありません。
警察庁が令和7年の被害企業・団体に実施したアンケートでは、調査・復旧に総額1,000万円以上を要した組織が全体の5割を超え、1か月未満で復旧できた組織は5割強にとどまりました。
侵入口が数千ドルで流通する一方、その先で生じる損害は桁が二つ三つ変わります。この非対称性こそが、上流での対処に投資する理由になります。
もう一つのリスクは、侵入口の売買が本人の知らないところで進む点です。自社のアクセスがいつの間にか出品され、値付けされていても、社内のログには明確な異常として現れないことが少なくありません。
攻撃が表面化するのは、買い手が動き出してからです。
さらに、一度売れたアクセスが一度きりで終わる保証はありません。同じ侵入口が複数の攻撃者に転売され、あるいはIAB自身が販売前にデータを抜き取ったうえで入口を売りに出すこともあります。
その結果、一つの侵害が繰り返し悪用され、同じ組織が何度も標的にされる継続的なリスクにつながります。侵害は一度で終わるものではない、という前提に立たなければいけません。
IABへの対策は、大きく2つに分けられます。
一つは、そもそもIABに仕入れさせないこと。もう一つは、万が一売られても、その兆候を上流でつかむことです。
以下は、組織的なセキュリティ体制を持つ大企業を念頭に整理しますが、IABの分業構造そのものは組織の規模を問わないため、考え方は中堅・中小企業にも共通します。
まず取り組むべきは、IABの主要な仕入れ経路をふさぐことです。彼らが扱うのは、脆弱性、露出したRDPやVPN、そして窃取された認証情報でした。ここを一つずつ塞いでいきます。
認証情報が盗まれても即座にログインされないよう、フィッシング耐性のある多要素認証（MFA）を導入します。パスワードだけに依存しない仕組みは、盗んだ認証情報を売り物にするIABのビジネスモデルそのものを崩します。
詳しくはフィッシング耐性のある多要素認証の記事で解説しています。
あわせて、公開されたVPN機器やサーバの脆弱性を迅速に管理し、パッチを遅延なく適用してください。ここは軽視されがちですが、警察庁のアンケートでは、侵入経路とされた機器に未適用のセキュリティパッチがあった組織が相当数にのぼっています。
侵入経路の6割以上を占めるVPN機器への対応は、警察庁自身が速やかな対応が必要と名指しする領域です。前提として、自社がインターネットにどんな資産を露出させているかを把握できていなければ、パッチの当てようもありません。棚卸しは対策の起点になります。
そのうえで、社内外を問わずすべてのアクセスを常に検証するゼロトラストの考え方を取り入れれば、盗まれた正規アカウントによる侵入も無条件には通しません。VPNに代わる考え方はZTNA（ゼロトラストネットワークアクセス）の記事で紹介しています。
これらはすべて、IABの仕入れを断つという文脈で一貫します。
侵入口を完全にゼロにすることは現実的ではありません。そこで二段目の守りとして、万一初期アクセスを許しても、買い手が動き出す横展開の段階で検知して止める備えを用意します。
前述のとおり、被害の本体はIABが入口を売った後の下流で起きるため、その下流で食い止められれば実害を抑えられます。
エンドポイントの挙動を監視するEDR、ネットワーク上の通信の異常を捉えるNDR、両者を統合して相関分析するXDRは、侵入後の不審な動きを検知するための仕組みです。認証情報のダンプや不自然なネットワークスキャン、深夜の一斉暗号化といった予兆は、これらの仕組みで危険信号として拾えます。
IABの買い手が本格的に動く前の数日から二週間ほどのタイムラグを、検知の好機として活かす発想が有効です。
なお、検知の前提となるのがログです。警察庁の同じアンケートでは、被害後の調査時点でログが保全されておらず侵害範囲の特定が困難になった事例が報告されています。取得と保全の設計は、検知製品の導入とセットで見直しておく必要があります。
そして最も上流の打ち手が、自社の認証情報やアクセスがダークウェブやアンダーグラウンドフォーラムで売買されていないかを常時監視することです。
侵入口が売りに出された兆候をつかめれば、買い手が動き出す前に、該当アカウントの無効化やパスワードの変更、脆弱性のパッチ適用といった先手を打てます。
これは、攻撃が表面化してから対応する事後対応とは根本的に発想が異なります。IABが仕入れ、検証し、出品するという一連の流れのどこかで異変を捉えられれば、被害そのものを未然に断てる可能性が生まれます。
StealthMoleは、こうした地下市場での自社情報の流通を可視化し、初期アクセスが取引される前段階で兆候をつかむための脅威インテリジェンス基盤です。
ダークウェブ監視の基本的な考え方は脅威インテリジェンスの記事にまとめており、経営層に向けた実践的な活用はCISO向けのダークウェブ脅威インテリジェンス活用術で取り上げています。
アクセスブローカーは、企業への侵入口を種類と形態と相場が定まった商品として売買し、サイバー攻撃の産業化を最上流で支える存在です。
彼らが安価に侵入口を供給し続けることが、ランサムウェア被害の起点となり、被害の裾野を広げています。数千ドルで売られた入口の先に、1,000万円を超える調査・復旧費用と、1か月を超える業務停止が待っている。この非対称な構図から目をそらすことはできません。
取るべき対策は明確です。フィッシング耐性のあるMFAと迅速な脆弱性管理、ゼロトラストで侵入口を作らせないことを土台に据えます。そのうえでEDRやNDR、XDRで買い手の横展開を検知して被害の本体を止め、ダークウェブ監視によって自社アクセスの出品を上流でつかみます。
侵入を作らせない守りと、売られた兆候を先回りで捉える攻めの監視を組み合わせることが、IABの分業構造への現実的な対策となるでしょう。
侵入口が売られる前に、あるいは売られた直後に兆候をつかんで先手を打つ体制を築けたとき、企業は攻撃の起点そのものを見張る側に回り、産業化した脅威に振り回されないセキュリティを得られます。
