Initial Access Broker: il mercato degli accessi aziendali

Il vostro accesso aziendale ha un prezzo di mercato. Non in senso metaforico: esiste un listino, si tratta, e il valore dipende da variabili conosciute come il fatturato dell’azienda, il settore e i privilegi associati alle credenziali.

Chi stabilisce quel prezzo è una figura specializzata: l’initial access broker. Non attacca, non cifra niente, non chiede riscatti. Entra, verifica cosa ha in mano, e rivende l’ingresso a chi farà il resto.

Nel 2021, quando queste figure hanno cominciato a essere censite, venivano descritte come una novità. Non lo sono più. Sono diventate un anello stabile della catena, e capire come funziona quell’anello serve a una cosa concreta: c’è un intervallo di tempo, misurabile in settimane, fra il momento in cui il vostro accesso viene messo in vendita e quello in cui qualcuno lo usa contro di voi. Quell’intervallo è l’unica finestra che avete.

Sommario

1. Cosa fa esattamente un initial access broker
2. Perché la specializzazione ha vinto
3. Cosa determina il prezzo di un accesso
4. Le porte che finiscono in vendita più spesso
5. La finestra fra la vendita e l’attacco
6. Cosa cambia nella difesa

Cosa fa esattamente un initial access broker

Un broker di accesso iniziale fa tre cose, in quest’ordine: individua un modo per entrare in un’organizzazione, lo verifica, e lo documenta per la rivendita. Poi si ferma.

Il terzo passaggio è quello che lo distingue e che spesso viene trascurato. Un accesso venduto senza descrizione vale poco, quindi il broker prepara una scheda: settore dell’azienda, fatturato stimato, numero di dipendenti, tipo di credenziale ottenuta, privilegi associati, quali sistemi sono raggiungibili da quel punto. Il prodotto in vendita non è una password: è un dossier, e chi lo compra sa già cosa troverà dentro.

Su questo blog trovate le due estremità del processo trattate separatamente. Come vengono sottratte le credenziali che alimentano questo mercato è l’oggetto dell’articolo sugli infostealer; come si svolge un’intrusione condotta con credenziali valide e senza malware è l’oggetto della guida all’Identity-First Intrusion. Qui parliamo di quello che sta in mezzo, cioè della compravendita.

Perché la specializzazione ha vinto

C’è una ragione economica per cui questa figura esiste, e non ha nulla di tecnico.

Entrare in un’azienda richiede pazienza, ricognizione, tentativi ripetuti e competenze diverse da quelle che servono a monetizzare. Un gruppo che gestisce un ransomware ha un’infrastruttura di negoziazione, un sito per la pubblicazione dei dati, un sistema di pagamenti: le sue competenze sono nell’estorsione, non nell’accesso. Comprare l’ingresso invece di procurarselo gli fa risparmiare la parte più lenta del lavoro.

È la stessa logica che governa qualunque filiera che matura. Prima ognuno fa tutto, poi ci si specializza, perché specializzarsi conviene a entrambe le parti. Il broker vende molti accessi a molti acquirenti senza esporsi alla fase rumorosa dell’attacco; l’acquirente compra solo ciò che gli serve e comincia dal punto in cui il lavoro difficile è già fatto.

La conseguenza per voi è meno ovvia di quanto sembri. Significa che chi è entrato nei vostri sistemi potrebbe non avere alcun interesse a danneggiarvi. Non cifra niente, non esfiltra niente di vistoso, non lascia richieste di riscatto. Sta solo verificando la merce, e più a lungo resta inosservato più la merce mantiene valore. È il motivo per cui questa fase è così difficile da notare: non produce sintomi.

Cosa determina il prezzo di un accesso

Il valore di un accesso non dipende dalla difficoltà tecnica con cui è stato ottenuto, ma da quanto rende a chi lo compra. Le variabili che contano sono poche.

Leggete la quarta riga al contrario e avete una definizione operativa di segmentazione della rete. Se dal punto di ingresso si raggiunge tutta l’infrastruttura, il vostro accesso è un prodotto pregiato; se si raggiunge un solo segmento, vale una frazione. La limitazione dei privilegi non è un adempimento formale: incide direttamente su quanto siete interessanti.

Le porte che finiscono in vendita più spesso

Le vie d’ingresso più commerciate hanno una caratteristica comune, e non è la sofisticazione. Sono esposte su internet e verificabili senza interagire con nessuno.

Accessi remoti pubblicati direttamente in rete, concentratori VPN con vulnerabilità note e correzioni non applicate, pannelli di amministrazione raggiungibili da fuori, servizi dimenticati su indirizzi che nessuno controlla più, credenziali comparse in violazioni precedenti e riutilizzate su sistemi aziendali. Nessuna di queste richiede un inganno: richiede solo che qualcuno guardi, e guardare costa poco.

Il punto in cui questa constatazione diventa utile è la differenza di prospettiva. Un broker vede la vostra infrastruttura come la vede uno sconosciuto: senza schema di rete, senza documentazione, senza sapere cosa è in produzione e cosa è un residuo. Guarda cosa risponde. Ed è esattamente lo stesso punto di vista da cui parte una verifica delle vulnerabilità condotta dall’esterno — la differenza è solo chi legge il risultato.

La finestra fra la vendita e l’attacco

Qui sta la parte che cambia il modo di ragionare, e nella comunicazione sul tema quasi non si trova.

Fra il momento in cui un accesso viene compromesso e quello in cui viene usato per un attacco passa del tempo. Il broker deve pubblicare l’annuncio, trovare un compratore, negoziare; il compratore deve pianificare, e spesso ha una coda di bersagli già acquistati da lavorare. Non sono minuti: sono settimane, a volte mesi.

In quel periodo l’accesso esiste, funziona, ed è già stato venduto o è in vendita. Dentro la vostra rete non succede nulla di anomalo, perché nessuno sta facendo nulla. Poi un giorno succede tutto insieme, e sembra un attacco improvviso. Non lo era: era un attacco pianificato su un ingresso acquistato tempo prima.

Da qui derivano due conseguenze pratiche.

La prima riguarda la periodicità. Se il ciclo commerciale dura settimane, una verifica di sicurezza annuale copre una frazione minima del tempo in cui quella finestra resta aperta. Non è una questione di quanto è approfondito il controllo, ma di quanto spesso lo fate: fra due verifiche distanti dodici mesi c’è spazio per l’intero ciclo di compromissione, vendita e sfruttamento, con largo margine.

La seconda riguarda cosa cercare. Un accesso in attesa di essere venduto non produce allarmi, quindi non lo trovate guardando gli allarmi. Lo trovate chiudendo le vie che lo rendono possibile, e verificando periodicamente che siano ancora chiuse. È lo stesso ragionamento che si applica alle credenziali già circolanti: sapere se le vostre sono comparse in violazioni note, con strumenti come Have I Been Pwned, è un controllo che costa nulla e che quasi nessuno fa con regolarità.

Cosa cambia nella difesa

Se l’ingresso è una merce, la domanda difensiva si sposta. Non più “qualcuno ci attaccherà”, che è indecidibile, ma “quanto vale il nostro accesso e chi lo ha verificato prima di noi”, che è misurabile.

Tre interventi incidono sul valore, e vale la pena guardarli in quest’ordine.

Ridurre le vie d’ingresso esposte abbassa la probabilità che un accesso esista. Limitare cosa si raggiunge da ciascun punto abbassa il prezzo di quello che comunque esiste: è la ragione per cui la segmentazione è la misura con il miglior rapporto fra costo e beneficio in questo scenario specifico. Rendere gli accessi meno stabili — secondo fattore, revoca delle sessioni, rotazione — accorcia la vita del prodotto, e un accesso che scade prima di essere venduto non arriva mai sul mercato. Su quest’ultimo punto conviene sapere che il secondo fattore non è inaggirabile, come mostrano tecniche del tipo MFA fatigue, ma resta ciò che rende un accesso meno rivendibile.

Resta un’ultima verifica, che è di natura diversa dalle precedenti. Le prime tre riguardano cosa è esposto e come è configurato: si accertano con una valutazione delle vulnerabilità. Ma la domanda a cui un broker risponde con il suo dossier — da questo punto d’ingresso, fin dove si arriva davvero? — è una domanda sperimentale, e la si verifica solo provando. È la distinzione fra vulnerability assessment e penetration test: la prima misura la superficie, il secondo compila lo stesso dossier che compilerebbe qualcun altro, con la differenza che lo consegna a voi.