ハッカーの求人サイト？ダークウェブで募集される「初期アクセス販売」の実態

かつてサイバー攻撃は、ひとりのハッカーが侵入から情報窃取、金銭化までを一貫して行う「職人技」のような世界だと考えられていました。しかし現在、その前提は大きく崩れています。
ダークウェブを中心とした地下経済圏では、サイバー攻撃は完全に分業化され、効率化・産業化が進んでいます。

その象徴的な存在が「侵入だけを専門に請け負う業者」です。彼らは自らランサムウェアを実行したり、情報を公開したりすることはありません。企業ネットワークに侵入し、内部へ入るための“足がかり”だけを商品として販売します。この「最初の侵入経路」を売買するビジネスは、近年急速に拡大しており、企業にとって見過ごせないリスクとなっています。

まるで求人サイトやBtoBマーケットプレイスのように、ダークウェブ上では「アクセス権」が条件付きで提示され、買い手と売り手が取引を行っています。
本記事では、この初期アクセス販売の実態と、企業が取るべき対策について詳しく解説します。

IAB（Initial Access Broker）とは何か？

IAB（Initial Access Broker）とは、企業や組織のネットワークに侵入するための初期アクセスを専門に入手し、それを第三者に販売する攻撃者のことを指します。

彼らの目的はシンプルで、「侵入経路を確保し、価値のある状態で売る」ことです。
IABが商品として扱うのは、以下のような情報や権限です。

・VPNの認証情報（ID・パスワード）
・リモートデスクトップ（RDP）の接続権限
・クラウド管理画面へのログイン情報
・管理者権限を持つアカウント
・侵入済みサーバーへのバックドア

これらは単体では被害が表面化しないことも多く、企業側が気づかないまま売買されているケースも少なくありません。

IABの主な手口

IABは高度なゼロデイ攻撃だけを使うわけではありません。
むしろ、以下のような「現実的で再現性の高い手法」を組み合わせています。

・VPNやメールサーバーの既知の脆弱性の悪用
・フィッシングによる認証情報の窃取
・パスワードの使い回しを狙った認証突破
・パッチ未適用のサーバーへの侵入
・管理が甘い外部委託先の踏み台化

重要なのは、IABにとって侵入の“深さ”は必須ではないという点です。
彼らの評価基準は「買い手が価値を感じる入口かどうか」。
たとえ一般ユーザー権限であっても、内部ネットワークに到達できるなら商品として成立します。

狙われるのは「脆弱な子会社」や「海外拠点」

多くの企業が「本社のセキュリティ対策は十分に行っている」と自負しています。しかし、IABが狙うのは必ずしも本社ではありません。
むしろ、彼らが好むのはセキュリティ成熟度にばらつきがある“周辺部分”です。

なぜ子会社・海外拠点が狙われるのか

IABの視点で見ると、以下のような組織は非常に魅力的なターゲットになります。

・IT部門の人数が限られている子会社
・本社とネットワークが接続されている関連会社
・現地任せで運用されている海外拠点
・M&A直後で統制が取れていない組織
・外部ベンダーが管理しているシステム

これらの拠点は、本社と比べてパッチ適用の遅れや設定不備が起きやすく、攻撃の成功率が高い傾向にあります。

「裏口」から本丸へ向かう攻撃シナリオ

IABが提供するアクセス情報は、最終的な攻撃者にとって「横展開の起点」となります。

例えば、以下のような流れです。
１．海外子会社のVPNアカウントを購入

２．社内ネットワークに接続

３．本社システムとの通信経路を探索

４．権限昇格や認証情報の追加取得

５．本社サーバーや重要データへ到達

この過程で、最初に侵入された拠点では大きな異常が検知されないまま、被害が拡大していくケースも多く報告されています。

自社がターゲットにされているかを知る「脅威インテリジェンス」

ここで多くの企業が直面する疑問があります。
「自社がすでに売り物になっているかどうか、どうすれば分かるのか？」

結論から言えば、通常のログ監視やEDRだけでは限界があります。
なぜなら、IABによる情報売買は企業ネットワークの外側、ダークウェブ上で行われているからです。

ダークウェブ監視の仕組み

脅威インテリジェンスサービスやダークウェブ監視サービスは、以下のような情報源を継続的に調査します。

・ダークウェブ上のハッカーフォーラム
・初期アクセス販売専用のマーケット
・招待制コミュニティやチャット
・認証情報の売買掲示板
・ランサムウェアグループの内部リーク

これらの情報を横断的に分析し、「自社名」「ドメイン」「IPアドレス」「関連企業名」などに紐づく投稿や取引情報を検知します。

早期発見がもたらす価値

仮に、自社のVPNアクセスが売りに出されていたとしても、その時点で攻撃が完了しているとは限りません。
多くの場合、IABは一定期間アクセスを保持し、より高値で売れるタイミングを待ちます。

この段階で検知できれば、以下のような対策が可能です。

・該当アカウントの即時無効化
・侵入経路の遮断と設定見直し
・内部ログの重点的な調査
・関係拠点への注意喚起
・インシデント対応の事前準備

「侵入されてから対応する」のではなく、「売られる前、使われる前に手を打つ」ことが、被害を最小限に抑える鍵となります。

まとめ：技術的な防御だけでなく、情報の流通網を監視するフェーズへ

IABの存在が示しているのは、サイバー攻撃の前段階がすでに“市場”として成立しているという現実です。
ファイアウォールやEDR、多要素認証といった技術的対策は依然として重要ですが、それだけでは十分とは言えなくなっています。

これからの企業セキュリティに求められるのは、「自社が攻撃されているか」だけでなく、「自社が攻撃対象としてどう見られているか」を把握する視点です。

ダークウェブ上での情報流通を可視化し、リスクを早期に察知することは、もはや一部の大企業だけの取り組みではありません。子会社や海外拠点を含めた全体最適のセキュリティ戦略を考えるうえで、脅威インテリジェンスやダークウェブ監視は重要な役割を担います。

もし、自社や関連組織がどのように見られているのかを把握できていないのであれば、一度ダークウェブ監視を試してみることが、次の一手になるかもしれません。