ダークウェブで売買される「Initial Access Broker（IAB）」の脅威

背景と概要

現代のサイバー犯罪は高度に分業化されています。自ら標的企業へ侵入し、身代金を要求するランサムウェアグループとは別に、「企業ネットワークへの侵入権限（アクセス権）」だけを専門に獲得し、それをダークウェブでオークション販売する専門業者「Initial Access Broker（IAB）」が存在感を示しています。

IABの存在により、高度なハッキング技術を持たないサイバー犯罪者でも、金さえ払えば即座に企業の内部ネットワークへ侵入できるようになっています。

IABが企業へ侵入する主な経路

IABは常に効率的に企業網へアクセスする口を探しています。

1. 未修正のVPN機器・RDPの悪用

　インターネット上に露出しているFortinetやPalo Alto等のVPN機器の未修正脆弱性を突き、社内網への侵入経路を確保します。

2. フィッシングやInfostealer（情報窃取マルウェア）で入手した認証情報

　従業員のPCがマルウェアに感染したことで盗まれた、VPNやクラウド（M365等）のログインID・パスワードを闇市場で購入・取りまとめます。

3. 取得したアクセス権のパッケージ販売

　「年商〇〇億円の日本の製造業、Domain Admin権限あり」といった形で数千〜数万ドルでオークション出品します。

IABの標的にならないための組織防衛

「入口」でのアクセス権確保を徹底的に潰すことが鍵です。

1. 外部公開資産の把握と迅速なパッチ適用（ASMの導入）

　自社が所有するすべてのIPアドレスや外部公開機器（VPN, RDP）を可視化（ASM: Attack Surface Management）し、クリティカルな脆弱性は即座に修復します。

2. 全ての外部接続における「多要素認証（MFA）」の必須化

　ID・パスワードが漏えいした場合でも、MFAが設定されていれば不正ログインを阻止できます。

3. ダークウェブのモニタリング（CTIの活用）

　サイバー脅威インテリジェンス（CTI）サービスを活用し、自社の認証情報やアクセス権が闇市場で売買されていないか早期検知します。

実務で深掘りしたい確認点

VPN、RDP、クラウドID、脆弱な公開機器など売買される初期侵入口をひとまとまりの管理対象として捉えます。侵入直後に破壊がなくても、新規アカウント、認証情報探索、遠隔ツール設置を検知します。 単発の警告だけで判断せず、利用者・端末・時刻・変更履歴を関連付けると、通常業務との違いを説明しやすくなります。

発見時の初動と影響確認

アクセス経路を封鎖し、認証情報を更新し、潜伏期間を想定して過去ログを横断調査します。 復旧を急ぐ場合も、後から原因と影響範囲を説明できるよう、時刻、担当者、実施した操作、保全した証拠を残します。外部への通知や専門家への相談が必要かも、扱うデータと業務影響から判断します。

継続運用へ落とし込む方法

ASM、MFA、EDRを連動し、インターネット公開資産の修正期限を短く設定します。 導入時だけで終わらせず、例外件数、検知から対応までの時間、再発、利用者からの相談を定期的に確認します。訓練や実際の対応で見つかった手順の曖昧さを更新し、責任者不在時にも動ける状態を維持します。