Intermediario di accesso iniziale (IAB)

Un Initial Access Broker (IAB) è un cybercriminale specializzato nell'introdursi illegalmente nelle organizzazioni e nel vendere tale accesso ad altri malintenzionati. Invece di condurre attacchi ransomware o rubare dati direttamente, gli Initial Access Broker si concentrano sull'ottenimento di accessi non autorizzati alle reti e sul profitto derivante dalla vendita di tali accessi sui mercati clandestini del cybercrimine.

Pensate a un Initial Access Broker come all'"agente immobiliare" del cybercrimine: non sempre commette il reato finale, ma fornisce le chiavi a chi lo farà.

Come funziona un intermediario per l'accesso iniziale

Una tipica operazione di Initial Access Broker segue questi passaggi:

1. Il broker ottiene l'accesso alla rete di un'organizzazione tramite phishing, credenziali rubate, vulnerabilità non corrette o servizi Remote Desktop Protocol (RDP) compromessi.
2. Il broker verifica che l'accesso sia stabile e valido.
3. I dettagli sull'organizzazione compromessa vengono pubblicati sui forum dedicati alla criminalità informatica.
4. Altri criminali acquistano l'accesso.
5. L'acquirente utilizza tale accesso per diffondere ransomware, rubare dati, condurre attività di spionaggio o commettere frodi finanziarie.

Alcuni broker si specializzano in settori o organizzazioni specifici in base alle dimensioni, al fatturato o alla posizione geografica.

Come si ottiene l'accesso iniziale

I broker di accesso iniziale sfruttano comunemente:

• Email di phishing
• Nomi utente e password rubati
• Password deboli o riutilizzate
• Vulnerabilità del software non corrette
• Protocollo desktop remoto (RDP)
• Vulnerabilità VPN
• Servizi cloud non configurati correttamente
• Malware che ruba le credenziali

Perché i broker di accesso iniziale sono importanti per le PMI

Le piccole e medie imprese sono obiettivi appetibili perché spesso dispongono di minori controlli di sicurezza e di dati aziendali preziosi.

Se un comitato consultivo interno (IAB) ottiene l'accesso, l'organizzazione potrebbe in seguito riscontrare:

• Attacchi ransomware.
• Compromissione della posta elettronica aziendale (BEC).
• Furto di dati.
• Frode finanziaria.
• Tempo di inattività operativa.
• Questioni normative o di conformità.

Molte organizzazioni non si rendono conto che l'accesso alla loro rete è stato venduto finché un secondo gruppo non lancia l'attacco vero e proprio.

Perché i broker di accesso iniziale sono importanti per i fornitori di servizi gestiti (MSP)

I fornitori di servizi gestiti (MSP) sono particolarmente preziosi perché una singola violazione può fornire accesso a decine o addirittura centinaia di ambienti dei clienti.

Un account MSP acquistato potrebbe consentire agli aggressori di:

• Diffondi ransomware su più client.
• Accedere alle piattaforme di monitoraggio e gestione remota (RMM).
• Rubare le credenziali dei clienti.
• Spostarsi orizzontalmente in ambienti gestiti.
• Interrompere le operazioni critiche dei clienti.

Per questo motivo, gli account amministratore MSP sono tra le risorse più ricercate sui mercati della criminalità informatica.

Come difendersi dai broker di accesso iniziale

Le organizzazioni possono ridurre il rischio attraverso:

• Abilitazione dell'autenticazione a più fattori (MFA) o delle password.
• Mantenere i sistemi e i software completamente aggiornati.
• Disattivare i servizi non necessari che si connettono a Internet.
• Utilizzo del sistema di rilevamento e risposta degli endpoint (EDR).
• Monitoraggio di attività di accesso insolite.
• Applicare policy sulle password complesse.
• Limitazione dei privilegi amministrativi.
• Formare i dipendenti a riconoscere gli attacchi di phishing.

L'individuazione precoce è fondamentale perché prevenire la compromissione iniziale impedisce agli aggressori di accedere al sistema prima che l'accesso venga venduto.

Intermediario di accesso iniziale contro operatore di ransomware

Sebbene spesso lavorino insieme, i loro ruoli sono diversi:

Broker di accesso iniziale	Operatore di ransomware
Ottiene accesso non autorizzato	Sfrutta quell'accesso per lanciare ransomware
Vende l'accesso ad altri criminali	Crittografa i dati e richiede il pagamento
Specializzato in infiltrazione	Specializzato in estorsioni
Solitamente attacca molte organizzazioni	Acquisto dell'accesso alle vittime selezionate

Conclusione

Un Initial Access Broker (IAB) è un criminale informatico che ottiene accesso non autorizzato alle organizzazioni e vende tale accesso ad altri aggressori. Per le PMI, ciò significa che anche una falla di sicurezza apparentemente minore può diventare il punto di partenza per ransomware, furto di dati o frode. Per i MSP (Managed Service Provider), il rischio è ancora maggiore perché gli account amministratore compromessi possono fornire agli aggressori l'accesso a numerosi ambienti dei clienti. Un'autenticazione forte, un monitoraggio continuo e l'applicazione tempestiva delle patch sono difese essenziali contro gli IAB e dimostrano il valore continuo della sicurezza informatica, identificando le minacce prima che si trasformino in incidenti.

---

Letture aggiuntive:

CyberHoot offre anche altre risorse a tua disposizione. Di seguito trovi i link a tutte le nostre risorse, sentiti libero di consultarle quando vuoi:

• Blog
• Cybrary (Biblioteca informatica)
• Infografica
• Newsletter
• Comunicati stampa
• Articoli didattici (HowTo) – molto utile per i nostri Super Admin!

---

Proteggi la tua attività con CyberHoot oggi stesso!