Initial Access Broker

Définition

Un Initial Access Broker (IAB) est un acteur malveillant spécialisé dans l'obtention d'accès initiaux à des réseaux d'entreprise compromis — via exploitation de vulnérabilités exposées, phishing, achat de credentials volés ou brute-force de services RDP/VPN — qu'il revend ensuite sur des forums cybercriminels ou des marketplaces du dark web à d'autres groupes malveillants, notamment les opérateurs de ransomware, plutôt que d'exploiter lui-même cet accès. Cette spécialisation illustre la professionnalisation et la division du travail au sein de l'écosystème cybercriminel moderne, structuré selon un modèle proche du Ransomware-as-a-Service : l'IAB fournit la matière première (l'accès), documentée par des annonces détaillant le secteur d'activité, le chiffre d'affaires estimé de la victime, le niveau de privilège obtenu et le type d'accès (VPN, RDP, webshell), tandis que les affiliés ransomware ou groupes APT se chargent de la monétisation finale via chiffrement et extorsion. Les prix constatés varient fortement selon la taille et le secteur de la victime, un accès administrateur domaine à une grande entreprise pouvant se négocier plusieurs milliers de dollars. Cette chaîne de valeur accélère considérablement le temps entre compromission initiale et impact opérationnel, les défenseurs devant surveiller non seulement les tentatives d'intrusion mais également les fuites de credentials et les mentions de leur organisation sur les forums cybercriminels via des services de threat intelligence dédiés.