Initial Access Brokers

Los Initial Access Brokers (IABs) son actores especializados en obtener acceso inicial a redes comprometidas y luego venderlo a otros. Su negocio, por tanto, no consiste en ejecutar el ataque final si no abrir la puerta y vender ese acceso a otros grupos, normalmente operadores de ransomware o actores con objetivos más concretos y más sofisticados. Esto los convierte en una pieza clave del ecosistema criminal, porque separan el acceso de la explotación y convierten la intrusión en un producto que puede comprarse, revenderse y reutilizarse según el valor del objetivo. En muchos casos, ese acceso se obtiene mediante VPN, RDP, credenciales robadas o malware, luego se oferta en foros underground o por canales privados.

Lo interesante de los IABs es que conectan campañas y actores distintos. Un broker puede vender acceso a una empresa y, semanas después, esa misma víctima aparecer en el leak site de un grupo de ransomware. Se han documentado casos donde operadores como LockBit, BianLian o BlackByte acabaron utilizando accesos que previamente habían sido anunciados por brokers en foros clandestinos. En otras palabras, los IABs actúan como una especie de intermediario criminal que reduce el esfuerzo de entrada para los grupos que quieren monetizar rápido y les evita invertir tiempo en reconocimiento, explotación o el propio acceso inicial. También se ha inferido por parte de diversos researchers que los IABs más exitosos tienden a "desaparecer" ya que pasan a trabajar exclusivamente para un grupo que les pague un salario suficientemente interesante.

También hay una lógica de mercado bastante clara detrás de su actividad. Los accesos se venden según la calidad del objetivo: no vale lo mismo un RDP de bajo privilegio que una cuenta con Domain Admin, acceso a VPN corporativa o persistencia en una organización grande. Los precios suelen variar en base a diversos factores como el tamaño de la empresa, el sector, el nivel de privilegio de la cuenta y otras facilidades derivadas de la credencial para escalar el compromiso.

En CTI, los IABs son relevantes porque representan el primer eslabón comercializable de muchas intrusiones reales. Seguir su actividad en foros underground, anuncios de venta o patrones de acceso permite anticipar posibles ataques posteriores y entender mejor cómo se alimenta el ecosistema ransomware. En vez de ver un incidente como algo aislado, el trabajo con IABs muestra que muchas campañas empiezan mucho antes de la fase visible y que la ventana defensiva tiende a ser muy corta desde el momento en que el acceso sale a la venta.