第1章 はじめに
近年、ランサムウェアによる被害は世界各地で報告され、そのたびに「○○ランサムウェアグループによる犯行」と報じられます。
しかし、その攻撃は本当に一つの組織だけで完結しているのでしょうか。
ここでは、ランサムウェアそのものではなく、その攻撃を陰で支える Initial Access Broker（初期アクセスブローカー：IAB） に焦点を当てます。
IABとは、企業ネットワークへの侵入口を確保し、それを他の攻撃者へ販売する専門的な犯罪者です。
海外の公開資料や脅威インテリジェンスをもとに、初期アクセスブローカー（IAB）の歴史や役割、ビジネスモデルをたどりながら、ランサムウェア時代を支える「見えない供給網」の正体を読み解いていきます。
第2章 初期アクセスブローカー（IAB）とは何者なのか
近年、海外の脅威インテリジェンスレポートでは、「Initial Access Broker（IAB）」という言葉を目にする機会が急速に増えています。
IABとは、Initial Access Broker の略称で、日本語では一般的に”「初期アクセスブローカー」”と訳されています。
「Initial Access」は標的企業のネットワークへ最初に侵入すること、「Broker」は仲介業者を意味します。
つまりIABとは、
企業ネットワークへの侵入口を確保し、それを他の攻撃者へ販売する犯罪者
です。
しかし、ここで一つ誤解されやすい点があります。
多くの人は、企業への侵入から情報の窃取、ランサムウェアの実行、身代金要求までを、一つの犯罪グループが行っていると考えています。
実際には、近年のサイバー犯罪では役割が細分化され、侵入だけを専門に行う者が存在します。
それがIABです。
ここで一度、身近な例で考えてみましょう。
泥棒が家へ侵入する場面を想像してください。
もし玄関の鍵を持っていなければ、まず鍵を壊したり窓を割ったりして家へ入らなければなりません。
ところが、すでに誰かが合鍵を用意していたらどうでしょうか。
泥棒は侵入に時間をかけることなく、その鍵を使って家へ入ることができます。
IABが売っているのは、まさにこの”「合鍵」”です。
家そのものを売るわけでも、家財を盗むわけでもありません。
侵入できる状態を商品として販売しているのです。
この「鍵」を購入した別の犯罪グループが企業ネットワークへ侵入し、情報を盗み出したり、ランサムウェアを実行したりします。
つまり、IAB自身がランサムウェアを実行するとは限りません。
彼らは、侵入口を提供する専門業者なのです。
そのため海外では、IABは現代のランサムウェア攻撃を支える重要な供給者の一つとして位置付けられています。
第3章 IAB誕生の歴史
第2章では、IAB（初期アクセスブローカー）が企業ネットワークへの「侵入口」を商品として販売する犯罪者であることを見てきました。
では、なぜこのような役割が生まれたのでしょうか。
実は、サイバー犯罪の世界も時代とともに変化してきました。
初期のランサムウェア攻撃では、一つの犯罪グループが標的企業への侵入から情報の窃取、ランサムウェアの実行、さらには身代金の交渉まで、一連の攻撃を担うケースが多く見られました。
しかし、攻撃対象が世界中へ広がり、企業のネットワーク環境も複雑化するにつれ、一つの組織だけで全てを担うことは、次第に効率が悪くなっていきました。
ここで、少し身近な例で考えてみましょう。
一軒の家を建てるとき、一人の職人が基礎工事から大工仕事、電気工事、水道工事、内装工事まで、すべてを担当することはほとんどありません。
現実には、それぞれの専門技術を持った職人が協力し、一つの家を完成させます。
専門分野に集中することで、作業の効率が向上し、より多くの仕事をこなせるようになるからです。
サイバー犯罪も、これとよく似た変化をたどりました。
企業への侵入を専門とする者。
盗み出した情報を販売する者。
ランサムウェアを実行する者。
身代金交渉を担当する者。
それぞれが自らの得意分野に特化することで、犯罪全体の効率が高まっていったのです。
その結果、「企業ネットワークへの侵入口だけを販売する」という、新たな役割が生まれました。
それが、”初期アクセスブローカー（IAB）”です。
もちろん、この変化は一夜にして起こったものではありません。
2010年代後半になると、海外の脅威インテリジェンスでは、企業ネットワークへのアクセス権を専門に売買する地下市場の存在が数多く報告されるようになります。
その後、ランサムウェア・アズ・ア・サービス（RaaS）の普及とともに、攻撃の分業化はさらに進みました。
「侵入が得意な者は侵入に専念する。」
「ランサムウェアの運用が得意な者は、その役割に専念する。」
この分業体制は、正規の企業が業務を専門化して効率を高めるのと同じように、犯罪の世界でも効率を高める結果となりました。
海外の脅威インテリジェンスがIABを重要視する理由も、ここにあります。
IABは単なる「侵入役」ではありません。
現代のサイバー犯罪を支える供給網の中で、重要な役割を担う存在となっているのです。
では、そのIABは実際に何を商品として販売しているのでしょうか。
次章では、地下市場で売買されている具体的な「侵入口」の正体について見ていきます。
第4章 IABは何を売っているのか
第3章では、IABが犯罪の分業化の中から生まれた存在であることを見てきました。
では、IABは実際に何を商品として販売しているのでしょうか。
「企業への侵入口」と聞くと、特殊なハッキングツールやコンピューターそのものを想像する人が多いことでしょう。
しかし実際には、その多くは”「企業ネットワークへ入るための権利」”です。
ここで、もう一度身近な例で考えてみましょう。
ホテルを利用するとき、私たちが料金を支払うのは建物そのものではありません。
部屋へ入るためのカードキーを受け取り、その部屋を利用する権利を得ています。
企業ネットワークも、これと少し似ています。
IABが販売しているのは、サーバーそのものではありません。
企業ネットワークへ入り、内部で行動できる**「利用権」**なのです。
この「利用権」には、さまざまな種類があります。
例えば、次のようなものが地下市場で売買されています。
- VPNアカウント（社内ネットワークへの接続権）
- RDP（リモートデスクトップ）へのアクセス権
- CitrixやRemote Desktop Gatewayなどのリモートアクセス環境
- Webシェルなど、侵入後に設置されたバックドア
- Active Directoryの管理者権限
- セッションCookieや認証トークン
- SSHや管理用アカウントの認証情報
これらは、一見すると単なるIDやパスワードに見えるものもあります。
しかし攻撃者にとっては、
企業ネットワークへ自由に出入りできる「入口」
という価値を持っています。
その価値は企業によって大きく異なります。
例えば、中小企業のVPNアカウントが**数百ドル（約5万～15万円程度）で取引される一方、大企業や重要インフラ事業者へのアクセス権では、数千ドル（約50万～150万円程度）、場合によっては数万ドル（数百万円以上）**で売買された事例も報告されています。
一見すると単なるIDやパスワードに見える情報でも、攻撃者にとっては企業への「入場券」であり、その価値は企業の規模や保有する権限によって大きく変わるのです。
企業への侵入口そのものを商品化し、市場で売買しているのです。
第5章 IABはどうやって侵入するのか
第4章では、IABが企業ネットワークへの「利用権」を商品として販売していることを見てきました。
では、その商品はどこから仕入れているのでしょうか。
「高度なハッキング技術を駆使して、どんな企業にも自由自在に侵入している。」
そんな印象を持つ人もいるかもしれません。
しかし実際には、IABが狙うのは特別な入口ではありません。
既に開いている入口や、少し力を加えれば開く入口を探し続けているのです。
ここで、建物を例に考えてみましょう。
空き巣は必ずしも壁を壊して侵入するわけではありません。
- 鍵の掛け忘れ
- 開いた窓
- 古くなって壊れた鍵
- 合鍵の盗難
こうした「入りやすい場所」を探します。
企業ネットワークでも事情はよく似ています。
IABは、利用できる入口を見つけ出し、それを商品へ変えていくのです。
その代表的な入口には、次のようなものがあります。
- VPN機器やファイアウォールなど、インターネットに公開された機器の脆弱性
- フィッシングメールによる認証情報の窃取
- 情報窃取型マルウェア（Stealer）によって盗まれたID・パスワード
- 過去の情報漏えいで流出した認証情報の悪用
- リモートデスクトップ（RDP）の不適切な公開
- 多要素認証（MFA）が設定されていないアカウント
これらは特別な企業だけの問題ではありません。
規模の大小を問わず、多くの組織が直面しているリスクです。
そして重要なのは、
IABは一つの手法だけを使うわけではない
という点です。
「この方法しか使わない」という職人ではなく、
市場で価値のあるアクセス権を得られる方法なら、複数の手段を組み合わせる。
それがIABの特徴です。
ネット探検ラボの視点
ここで見えてくるのは、
IABが販売している商品の価値は、
侵入技術の高さだけで決まるわけではない
ということです。
むしろ、
「開いたままになっている入口」をいち早く見つける観察力や、
「盗まれた認証情報」を効率よく集める仕組み、
そして、それらを商品として流通させる市場との結び付きこそが、
IABという存在を支えています。
つまり、彼らが売っているのはアクセス権ですが、
その裏側には、
情報収集力・継続的な監視・市場との接続
というビジネスが存在しているのです。
第6章 犯罪エコシステムの中のIAB
ここまで見てきたように、IABは企業ネットワークへのアクセス権を商品として販売する存在です。
では、その商品は誰が購入し、どのように利用されているのでしょうか。
この疑問に答えるためには、少し視野を広げる必要があります。
IABは単独で活動する犯罪者ではありません。
サイバー犯罪という巨大なエコシステム（生態系）の一員なのです。
ここで、一般企業を例に考えてみましょう。
一台の自動車が完成するまでには、自動車メーカーだけでなく、多くの企業が関わっています。
部品メーカーが部品を製造し、物流会社が運び、販売会社が消費者へ届けます。
それぞれが専門分野を担当し、一つの製品を生み出しています。
現代のサイバー犯罪も、驚くほどよく似た構造になっています。
一つの組織がすべてを担うのではなく、それぞれが得意分野を分担しながら、一つの犯罪ビジネスを成立させているのです。
例えば、ランサムウェア攻撃の背後では、次のような役割分担が見られます。
●IAB（初期アクセスブローカー）
企業ネットワークへの侵入口を確保し、そのアクセス権を他の攻撃者へ販売します。
IABが販売するのは、盗んだファイルそのものではありません。VPN、RDP、管理者アカウントなどを通じて、企業ネットワークへ入るための「利用権」です。
犯罪エコシステムの中では、攻撃の入口を準備し、実行役へ引き渡す供給者に当たります。
●Stealer運営者
認証情報、ブラウザーに保存されたパスワード、Cookie、セッション情報などを窃取するマルウェアを開発・配布・運営します。
Stealerによって盗まれた情報は、IABが企業への侵入口を確保するための材料になることがあります。IAB自身がStealerを利用する場合もあれば、地下市場でStealerログを購入し、利用可能な認証情報を探す場合もあります。
つまりStealer運営者は、IABにとって認証情報の供給源、あるいは仕入れ先になり得る存在です。
●ランサムウェア開発者（RaaS運営者）
暗号化プログラム、管理画面、交渉用サイト、リークサイトなど、ランサムウェア攻撃に必要な基盤を開発・提供します。
多くの場合、RaaS運営者自身がすべての企業へ侵入するわけではありません。実際の侵入や攻撃は、アフィリエイトと呼ばれる実行役が担います。
IABが供給したアクセス権は、こうしたRaaS基盤を使うアフィリエイトによって利用されることがあります。
●アフィリエイト
IABから購入したアクセス権などを利用して企業ネットワークへ侵入し、内部探索、権限昇格、データ窃取、ランサムウェアの展開を実行します。
IABにとっては、アクセス権を購入する代表的な顧客です。
一方、RaaS運営者から見れば、用意されたランサムウェア基盤を使って攻撃を実行し、利益を生み出す現場担当者に当たります。
●資金洗浄や暗号資産の換金を担う者
身代金として支払われた暗号資産を複数のウォレットへ移動させたり、交換サービスなどを利用したりして、資金の流れを追跡しにくくします。
この役割がなければ、攻撃で得た暗号資産を安全に利用可能な資金へ変えることは難しくなります。
犯罪エコシステムの中では、攻撃によって得られた利益を回収し、関係者へ還流させる出口を担います。
それぞれは異なる役割を持ちながら、互いに商品、情報、サービスを受け渡し、一つの犯罪ビジネスを支えています。
ここで重要なのは、
IABは攻撃の主役ではない
という点です。
しかし、入口を供給するIABが存在しなければ、多くの攻撃は始まりません。
言い換えれば、
IABは犯罪エコシステム全体を支える「供給網（サプライチェーン）」の一部なのです。
犯罪エコシステムの流れ
Stealer・認証情報の窃取
│
▼
IAB（アクセス権の確保・販売）
│
▼
アフィリエイト（侵入・攻撃の実行）
│
▼
RaaS運営者（ランサムウェア基盤の提供）
│
▼
データ窃取・暗号化・恐喝
│
▼
資金洗浄・暗号資産の換金
第7章 IABは犯罪の卸売業者なのか
IABは犯罪の卸売業者なのか
ここまで見てきたように、IABは企業ネットワークへのアクセス権を商品として販売しています。
では、その役割を一般社会のビジネスに例えると、どのような存在なのでしょうか。
私は、「卸売業者」という考え方が最も近いと考えています。
卸売業者は、自ら商品を消費することはありません。
生産者から商品を仕入れ、必要とする事業者へ供給することで利益を得ています。
IABもまた、自らランサムウェア攻撃を実行することを目的としているわけではなく、企業ネットワークへのアクセス権という商品を、攻撃を実行する者へ販売することを主なビジネスとしています。
この点において、両者にはよく似た役割が見られます。
しかし、完全に同じではありません
もちろん、この例えには限界があります。
一般的な卸売業者は、自ら商品を製造することは少ないでしょう。
しかしIABは違います。
自ら脆弱性を悪用してアクセス権を確保する場合もあります。
Stealerを利用して認証情報を収集する場合もあります。
また、地下市場で認証情報やアクセス権を購入し、それらを再販売する場合もあります。
つまりIABは、
「アクセス権を自ら生み出す場合」と「他者から仕入れて流通させる場合」の両方を担うことがあります。
そのため、「卸売業者」という表現は分かりやすい比喩ではありますが、実際にはより柔軟なビジネスモデルを持つ存在と言えるでしょう。
では、このようなIABという存在は、欧米のセキュリティ機関や脅威インテリジェンス企業から、どのように評価されているのでしょうか。次章では、その評価と最新の分析を見ていきます。
ネット探検ラボの視点
私は、IABを理解する上で最も重要なのは、
「組織を見る」のではなく、「役割を見る」ことだと考えています。
ニュースでは、
「○○ランサムウェアグループが攻撃した」
という表現がよく使われます。
しかし、その背後では、
- 認証情報を集める者
- アクセス権を供給する者
- 攻撃を実行する者
- 攻撃基盤を提供する者
- 利益を回収する者
といった役割分担が存在しています。
一つの組織が複数の役割を兼ねることもあれば、それぞれが独立した犯罪者として活動し、地下市場で連携することもあります。
つまり、IABとは組織名ではなく、「アクセス権を供給する」という役割を表す言葉として理解する方が、実態に近いと言えるでしょう。
第8章 海外ではIABはどのように評価されているのか
IABという存在は、日本ではまだ一般にはあまり知られていません。
しかし欧米では、IABはランサムウェア攻撃を支える重要な役割として長年分析されてきました。
実際、多くの脅威インテリジェンス企業や政府機関は、IABを単なる「ハッカー」ではなく、犯罪エコシステムを支える重要な供給者として位置付けています。
各機関の評価
Google Mandiant
IABは、ランサムウェア攻撃における初期侵入を担う専門的な役割として分析しています。
Microsoft
認証情報の窃取や脆弱性の悪用などを通じてアクセス権を確保し、それを他の攻撃者へ提供する存在として継続的に監視しています。
Recorded Future
Stealerログや地下市場との結び付きに着目し、IAB市場そのものを犯罪エコシステムの重要な構成要素として分析しています。
CrowdStrike
ランサムウェア被害の背後にはIABが関与するケースが増えていると分析し、企業防御において初期侵入への対策を重視しています。
CISA
米国政府機関も、初期アクセスの売買市場をランサムウェア対策上の重要課題として位置付けています。
第9章 ネット探検ラボの視点
ここまで、IAB（初期アクセスブローカー）という存在について見てきました。
しかし、私が本当にお伝えしたかったのは、「IABという犯罪者」の話ではありません。
私が読者の皆さんと一緒に探究したいのは、その背後に存在する犯罪エコシステムです。
サイバー攻撃のニュースでは、
「○○ランサムウェアグループが犯行声明を出した。」
「○○グループが情報を公開した。」
といった報道が数多く見られます。
もちろん、それらは重要な情報です。
しかし、グループ名だけを追い続けても、サイバー犯罪の全体像を理解することは難しいと私は考えています。
現代のサイバー犯罪は、一つの組織だけで完結するものではありません。
企業ネットワークへの侵入口を確保する者。
認証情報を窃取する者。
ランサムウェアの基盤を提供する者。
実際に侵入し攻撃を実行する者。
そして利益を回収し、資金の流れを隠す者。
それぞれが異なる役割を担いながら、一つの犯罪ビジネスを成立させています。
つまり、私たちが向き合うべき相手は、一つのランサムウェアグループではなく、役割ごとに専門化された犯罪エコシステムなのです。
だからこそ、ネット探検ラボでは、特定の犯罪グループだけを追い続けるのではなく、この犯罪エコシステムを構成する一つひとつの役割を丁寧に探究していきたいと考えています。
IABも、その一つです。
Stealerも、その一つです。
RaaSも、その一つです。
マネーロンダリングも、その一つです。
それぞれを個別に理解し、互いのつながりを知ることで、初めてサイバー犯罪の全体像が見えてきます。
私は、その「点」と「点」を結び、「線」として理解し、さらに犯罪エコシステム全体という「面」として捉える視点を、読者の皆さんと共有していきたいと思っています。
ネット探検ラボは、これからも一つひとつの役割を探究しながら、そのつながりを丁寧に積み重ねていきます。
サイバー犯罪を理解することは、犯人の名前を知ることではありません。犯罪エコシステム全体を俯瞰し、それぞれの役割と、そのつながりを理解すること。
それが、ネット探検ラボが目指す探究のスタイルです。
第10章 まとめ
本記事では、IAB（初期アクセスブローカー）という存在について、その役割やビジネスモデル、犯罪エコシステムとの関わりを見てきました。
IABは、ランサムウェア攻撃そのものを実行する存在とは限りません。
企業ネットワークへのアクセス権を商品として供給し、それを必要とする攻撃者へ提供することで、現代のサイバー犯罪を支える重要な役割を担っています。
そして、その背後には、認証情報を窃取する者、攻撃基盤を提供する者、実際に攻撃を実行する者、利益を資金化する者など、多様な役割が連携する犯罪エコシステムが存在しています。
サイバー攻撃を理解するためには、個々のランサムウェアグループの名前を追い続けるだけでは十分ではありません。
それぞれの役割と、そのつながりを理解すること。
それが、サイバー犯罪の全体像を捉える第一歩になると私は考えています。
ネット探検ラボでは、これからも犯罪エコシステムを構成するさまざまな役割やインフラについて、一つひとつ探究していきます。
本記事が、サイバー犯罪を「事件」としてだけでなく、「構造」として理解するきっかけになれば幸いです。
サイバー犯罪の世界は、決して一人の犯罪者だけで成り立っているわけではありません。そこには、それぞれの役割を担う者たちが存在し、一つの犯罪エコシステムを形成しています。ネット探検ラボは、これからもその全体像を探究し続けます。
ランサムウェアグループだけを見ても、現代のサイバー犯罪は理解できません。
その背後には、侵入口を供給する者、マルウェアを開発する者、データを売買する者、交渉を担当する者、資金を洗浄する者など、多数の専門家による巨大な犯罪エコシステムが存在します。
IABを理解することは、現代サイバー犯罪を「点」ではなく、「犯罪エコシステム」という「面」で捉える第一歩となるでしょう。
コメント