broker początkowego dostępu

Broker początkowego dostępu (initial access broker, IAB) to przestępca albo grupa, która zdobywa dostęp do cudzych sieci i systemów, a następnie go sprzedaje. Broker zwykle nie prowadzi ataku końcowego. Sprzedaje wejście, najczęściej operatorom i afiliantom ransomware. Brytyjskie NCSC opisuje sprzedaż do IAB jako alternatywę dla sprzedaży skradzionych poświadczeń na rynkach: brokerzy skupiają dostępy, odsiewają najcenniejsze cele i odsprzedają je drożej ^[1]. Microsoft zalicza sprzedaż dostępu do systemów innym napastnikom do stałych elementów gospodarki cyberprzestępczej ^[2].

Jak działa

Działalność brokera ma kilka etapów. NCSC opisuje, że brokerzy często kupują skradzione poświadczenia hurtowo albo sami skanują internet w poszukiwaniu podatnych systemów ^[1]. Zdobyty dostęp sprawdzają: czy działa, czy prowadzi do sieci firmowej, jak duża jest ta sieć i do jakiej firmy należy. Wartość ofiary szacują na podstawie informacji o domenie i komercyjnych baz danych o firmach ^[1]. Microsoft dodaje, że dostęp jest droższy, gdy system nie ma ochrony antywirusowej ani EDR (Endpoint Detection and Response) i gdy obejmuje wysoko uprzywilejowane konta ^[2].

RYS. 1Łańcuch handlu dostępem

Według NCSC brokerzy odsprzedają dostępy za tysiące dolarów, zależnie od wartości ofiary ^[1]. Część pracuje na zamówienie konkretnych grup ransomware, inni wystawiają potwierdzone dostępy każdemu chętnemu ^[1]. Microsoft zauważa, że kupujący afiliant może nawet nie wiedzieć, jak system został przejęty, i używa go jako punktu wyjścia do dalszych działań ^[2]. Czas od początkowego dostępu do pełnego ataku bywa według Microsoftu krótszy niż godzina ^[2].

Metody zdobywania dostępu

MITRE ATT&CK opisuje uzyskanie dostępu początkowego jako osobną taktykę (TA0001): techniki, które używają różnych wektorów wejścia, by zdobyć pierwszy przyczółek w sieci ^[5]. Brokerzy korzystają głównie z kilku z nich.

MITRE odnotowuje, że poświadczenia można kupić na rynkach w dark webie albo zdobyć przez kanały w Telegramie, które rozprowadzają logi ze złośliwego oprogramowania typu infostealer ^[6]. Dlatego rynek IAB jest ściśle powiązany z rynkiem danych uwierzytelniających i z modelem malware-as-a-service (MaaS).

W WordPressie

Strona WordPress jest dla brokera celem na dwa sposoby. Po pierwsze, panel administracyjny i konto hostingowe to dostęp, który da się sprzedać, na przykład do umieszczenia złośliwego kodu albo przekierowań. Po drugie, komputer osoby, która zarządza stroną, bywa źródłem poświadczeń. MITRE zwraca uwagę, że napastnicy wykorzystują skłonność użytkowników do powtarzania haseł w kontach prywatnych i służbowych ^[6]. Hasło do panelu zapisane w przeglądarce zainfekowanej infostealerem trafia do tej samej puli, co hasła do sieci firmowych.

Poradnik utwardzania WordPressa wymienia wśród głównych obszarów podatności komputer użytkownika i połączenia sieciowe, a nie tylko samą aplikację ^[7]. Zaleca też drugie hasło po stronie serwera dla /wp-admin/, szyfrowane połączenia przy administracji i bezpieczny sposób przesyłania plików ^[7]. Te środki sprawiają, że samo skradzione hasło do WordPressa jest mniej warte. Podobną rolę pełni uwierzytelnianie wieloskładnikowe (MFA) i limit prób logowania.

Monitorowanie zmian w plikach, które poradnik zaleca jako sposób wykrycia nowych i zmodyfikowanych plików ^[7], pozwala zauważyć, że ktoś wykorzystał kupiony dostęp, na przykład zostawiając webshell.

Zagrożenia i skutki

Broker rozdziela atak na role. Jedna grupa zdobywa dostęp, druga go wykorzystuje. W efekcie ofiara może mieć w sieci napastnika, który nic nie robi, dopóki nie znajdzie się kupiec; Microsoft opisuje też przypadki, w których taki przyczółek nigdy nie zostaje wykorzystany ^[2]. Skutkiem sprzedaży jest zwykle atak w modelu RaaS, kradzież danych, lateral movement w sieci firmowej albo wykorzystanie infrastruktury do dalszych ataków.

Specjalizacja obniża próg wejścia. Afiliant nie musi umieć włamać się do sieci, bo kupuje gotowe wejście ^[2].

Jak się bronić

• Ograniczać ekspozycję: nie wystawiać usług zdalnego dostępu i paneli zarządzania do internetu bez potrzeby, łatać urządzenia brzegowe; zob. zarządzanie poprawkami.
• Chronić poświadczenia: unikalne hasła, menedżer haseł, MFA na kontach zdalnych i administracyjnych.
• Śledzić wycieki: monitoring dark webu pozwala zauważyć poświadczenia albo ogłoszenia o sprzedaży dostępu do organizacji.
• Szukać nieznanych systemów: Microsoft zaleca wykrywanie niezarządzanych, starszych systemów bez zabezpieczeń i pilnowanie, by nie dzieliły poświadczeń z innymi systemami ^[2].
• Wykrywać użycie dostępu: nietypowe logowania, nowe konta, nowe pliki na serwerze.

Historia i przykłady

Sekurak w kwietniu 2025 roku opisał Strela Stealera, złośliwe oprogramowanie kradnące dane logowania z klientów poczty Mozilla Thunderbird i Microsoft Outlook ^[3]. Posługuje się nim grupa Hive0145, która działa jako broker początkowego dostępu i współpracuje z rosyjskimi dostawcami typu bulletproof hosting ^[3]. Kampanie phishingowe z tym oprogramowaniem były wymierzone głównie w użytkowników z Hiszpanii, Włoch, Niemiec i Ukrainy ^[3].

W czerwcu 2026 roku Sekurak opisał kampanię FortiBleed, w której przejęto prawie 74 tys. zapór Fortinet FortiGate ^[4]. Napastnicy skanowali internet w poszukiwaniu wystawionych paneli zarządzania, przez niezałatane podatności wyciągali pliki konfiguracyjne i skróty haseł, a hasła łamali offline ^[4]. Uporządkowana baza celów, podzielona według branży, lokalizacji i przychodów firm, wskazywała według autorów, że za operacją stoją brokerzy początkowego dostępu sprzedający dostęp na czarnym rynku ^[4].