Initial Access Broker (IAB)

מתווך גישה ראשונית, או IAB, הוא פושע שפורץ לארגונים ומוכר את הגישה לתוקפים אחרים במקום להשתמש בה בעצמו. צוותי כופרה הם הקונים העיקריים. MITRE ATT&CK ממדל את הרכישה כ-T1650 Acquire Access, תחת Resource Development, וקובע שלא ניתן ליישם עליה מיטיגציה בקלות באמצעות בקרות ארגוניות.

המונח מופיע ב-advisories, בסקירות אירועים ובדוחות ספקים, והוא נשמע כאילו אמור להצביע על בקרה חדשה שכדאי לקנות או על התראה חדשה שכדאי לכתוב. השאלה המעניינת אינה מהו מתווך. השאלה היא אם יש כאן משהו שאפשר למנוע, לזהות, או להקצות לו תקציב בצורה מועילה.

העמוד הזה עונה על זה קודם, כי התשובה קובעת את כל השאר: מה המסגרת באמת ממדלת, למה העסקה יושבת מחוץ לשדה הראייה שלכם, מה באמת מראים מספרי המחירים שמופצים ברשת אחרי שבודקים אותם, ואיפה כן שייך המאמץ ההגנתי.

הסבר כאילו אני בן 10

מישהו מוצא דרך להיכנס לבניין. הוא לא גונב כלום. הוא רושם איזו דלת עובדת, לכמה חדרים היא פותחת, וכמה עשירה נראית החברה בפנים, ואז מוכר את המידע למי שמשלם הכי הרבה. שבועות אחר כך נכנס אדם אחר ומרוקן את המקום. מי שמצא את הדרך פנימה ומי שגרם לנזק אינם אותו אדם, והשני בכלל לא היה צריך לחפש דלת.

מה באמת נמכר כאן

מתווך לא מוכר טכניקה. הוא מוכר דרך כניסה עובדת לארגון ספציפי, מתוארת במונחים שחשובים לקונה.

התיאור של MITRE עצמה לרכישה אומר שדריסות רגל "may take a variety of forms, such as access to planted backdoors (e.g., Web Shell) or established access via External Remote Services". בתרגום פשוט: דרך כניסה ששורדת, בין אם מדובר ב-shell על שרת web ובין אם במסלול גישה מרחוק לגיטימי עם פרטי הזדהות צמודים.

שני פרטים בתיאור של המסגרת חשובים יותר מרשימת הווקטורים שמדריכים על המונח נוטים לפרסם.

• מה שהקונה יורש אינו תמיד רק login. MITRE מציינת שבמקרים מסוימים "access brokers will implant compromised systems with a 'load' that can be used to install additional malware for paying customers". הגישה יכולה להגיע כבר מצוידת במנגנון מסירה.
• הסקטור שלכם יכול להפוך אתכם לשווים יותר מהנתונים שלכם עצמם. רכישת גישה לארגון ב"IT contracting, software development, or telecommunications" יכולה לפתוח נתיב ללקוחות של אותו ארגון דרך יחסי אמון או שרשרת אספקה. אם אתם משרתים עסקים אחרים, התמחור שלכם נעשה גם בשמם.

Huntress, בטקסט מיולי 2026, מציינת שמודעות "can include details like the victim's industry, country, revenue, and access type, all of which help shape the price". קראו את זה מצד המגן ולא מצד השוק: נתון ההכנסות שלכם, הסקטור שלכם וסוג הגישה מרחוק שאתם חושפים הם קלטי תמחור בשוק שאתם לא רואים.

מה הופך קורבן אחד לשווה יותר מאחר

המסגרת מפורשת גם כאן. רכישת גישה מאפשרת ליריב "reduce the resources required to gain a foothold" ו"focus their efforts on later stages of compromise", וקונים עשויים לתעדף "systems that have been determined to lack security monitoring or that have high privileges, or systems that belong to organizations in a particular sector". עמדת הניטור שלכם אינה רק יכולת זיהוי. היא קלט תמחור.

איך הגישה הושגה מלכתחילה הוא נושא של עמודים אחרים. פישינג, גניבת פרטי הזדהות, שירותי גישה מרחוק חשופים ומתקפות זהות, כולם מזינים את השוק הזה, ולכל אחד מהם סיפור זיהוי משלו. העמוד הזה עוסק במה שקורה לגישה אחר כך.

אפשר לזהות מתווך גישה ראשונית?

לא את העסקה. והאמירה הברורה ביותר על כך מגיעה מהמסגרת עצמה.

ATT&CK ממדל את צד הקונה כ-T1650 Acquire Access, תחת Resource Development, בפלטפורמת PRE, שם מסווגות התנהגויות שמתרחשות מחוץ לסביבת הקורבן. לטכניקה אין תת-טכניקות, והיא עודכנה לאחרונה ב-24 באוקטובר 2025.

המיטיגציה שלה היא רשומה בודדת, `M1056 Pre-compromise`, והיא קובעת: "This technique cannot be easily mitigated with preventive controls since it is based on behaviors performed outside of the scope of enterprise defenses and controls."

אסטרטגיית הזיהוי שלה, `DET0884`, נושאת analytic אחד, `AN2016`, ואומרת את אותו הדבר מהכיוון ההפוך: "Much of this takes place outside the visibility of the target organization, making detection difficult for defenders. Detection efforts may be focused on related stages of the adversary lifecycle, such as during Initial Access."

שתי מסקנות נובעות מכך, והן הסיבה לקיום העמוד הזה.

ראשית, אין מה לתפוס ברגע שהגישה שלכם מחליפה ידיים. אף לוג לא מתעד את המכירה. האירוע שחשוב לשוק מתרחש על תשתית שאין לכם קשר אליה, בין שני צדדים שאינם אתם.

שנית, המסגרת לא מושכת בכתפיים. היא מציינת את השלב שבו שייך המאמץ: initial access, החדירה עצמה. זו הפניה מחדש, והיא שימושית יותר מנאום הניטור שבו מסתיים רוב הסיקור שנתפס סביב המונח.

זה גם עונה על שאלת רכש שהתחום נוטה להשאיר פתוחה. מנוי threat intelligence יכול לספר לכם שמשהו פורסם במודעה. הוא לא הופך את העסקה לניתנת לזיהוי, והוא לא מצמצם את החשיפה שהפכה את הגישה לסחירה. קנו בסדר הזה.

בפועל זה אומר שעבודת הזיהוי סביב המונח הזה אינה עבודה חדשה. זה זיהוי החדירות שאתם כבר מריצים, עם ערך שונה: התראה בשלב הגישה שווה יותר ממה שציון החומרה שלה מרמז, כי ייתכן שזה הרגע היחיד שבו מישהו בארגון שלכם בכלל בעמדה לפעול.

יש גם השלכה לתדרוך שכדאי שתהיה מוכנה. אם הארגון שלכם נפרץ ברבעון אחד וכופרה הופיעה ברבעון אחר, זה לא בהכרח כשל זיהוי שנמשך חודשים. ייתכן שמדובר בשני גורמים שונים ובעסקה באמצע.

בכמה באמת נמכרת גישה?

שלוש טענות מחיר מסתובבות בעמוד הראשון של תוצאות החיפוש על המונח, והן לא מסכימות זו עם זו. מעקב אחריהן מלמד יותר מכל אחד מהמספרים.

השורה השלישית היא זו שחשובה, כי היא מצביעה לכיוון ההפוך מהנתון שמסתובב בהרחבה. Cyberint מדווחת שמחיר המודעה הממוצע היה "$3,066" ב-2023 עם חציון של "$1,500", ושב-2024 "the average price has dropped significantly to $1,295, which is an approximately 60% decrease" - בזמן שמתווכים עלו במעלה השוק לעבר יעדים עם הכנסות גבוהות יותר.

המספר המצוטט ביותר לגישה לרשת מתאר את השוק כפי שעמד ב-2020, והעמוד שמגיש אותו מדורג ראשון בשני מנועי החיפוש הגדולים וכותב אותו בזמן הווה.

קודם התפלגות, ורק אחר כך ממוצע

אותו מקור עושה בעצמו את הנקודה הסטטיסטית, וזה נדיר מכפי שצריך להיות. ב-2023, "65% of listings ... were priced under $2,000, and 77% were under $3,000", והדוח אומר במפורש ש"the higher average price is skewed by these high value listings". עד 2024 "the vast majority of listings are now priced under $1,000", וגישה בעלת ערך גבוה ירדה ל-9% ממה שהיה זמין.

כלומר הממוצע מעולם לא תיאר מכירה טיפוסית. הוא תיאר זנב ארוך. זה המהלך שניתן להעביר הלאה: כשמופיע בדוח מספר שוק, בקשו את ההתפלגות לפני שאתם חוזרים על הממוצע, ושאלו איזו שנה מכסה האיסוף.

סייג אחד שייך לכל שלוש השורות. אלה אוספי ספקים מזירות שכל ספק בחר לעקוב אחריהן. הם מתארים מה האוספים האלה ראו, וזה לא זהה למה שהשוק עשה.

למה המתקפה מגיעה חודשים אחרי הפריצה

הפער בין הפריצה לכופרה הוא החלק שמבלבל לוחות זמנים של אירועים, ודיווח SOC מ-2026 שם את זה בפשטות. Huntress מתארת את התבנית: חדירה בשנה אחת, מכירה, וגורם אחר שמגיע חודשים אחר כך, מה שאומר ש"it's really hard to definitively point to activity that initially stemmed from an IAB selling the access".

אותו טקסט מנסח את ההשלכה ההגנתית: "By the time follow-on activity appears, the original break-in may be weeks or months old, and the attacker in the environment may not be the one who first got in." ואז המשפט שהכי חשוב ל-SOC: "Even when attribution is murky, those first signs of compromise can still give defenders a chance to interrupt what comes next."

ההשלכה על תיעדוף

זה שינוי התנהגות אחד, והוא היחיד שהעמוד הזה באמת מבקש. התראה לא מרשימה בשלב הגישה - ניסיון brute-force נגד גישה מרחוק חשופה, פרטי הזדהות שנעשה בהם שימוש ממיקום מוזר - אולי אינה המתקפה. אולי זה המלאי שנאסף. לתייג את ההתראות האלה כרעש בעל ערך נמוך הוא הדרך שבה ארגון מוצא את עצמו קורא על עצמו חודשים אחר כך.

זה גם מסביר למה dwell time באירוע כופרה הוא דבר מוזר להסיק ממנו מסקנות: השעון אולי התחיל אצל מישהו שמעולם לא התכוון לעשות דבר מלבד למכור.

מי קונה, ומה advisory ממשלתי מתעד

צד הביקוש מתועד, לא מוסק.

דוגמאות ה-procedure של ATT&CK ל-T1650 כוללות קבוצת כופרה מזוהה ש"has purchased user credentials and other sensitive data from Initial Access Brokers (IABs)".

עדכני יותר, ומדויק יותר: ב-10 באוגוסט 2026 פרסמו CISA, ה-FBI, DC3, ה-NSA, השירות החשאי של ארה"ב והמשטרה הלאומית של הרפובליקה של קוריאה advisory משותף שמתעד שפעולת כופרה אחת "has further commercialized its platform by actively recruiting penetration testers and ethical hackers to serve as initial access brokers, offering a share of the ransom profits in exchange for enterprise network access". ה-advisory היה בן תשעה ימים כשהעמוד הזה נכתב, והוא לא מופיע בעמוד הראשון של תוצאות החיפוש על המונח.

התמחות עם תלוש משכורת

שוק העבודה מאחורי זה מתועד גם הוא. CIS Center for Internet Security, בכתיבה של צוות ה-threat intelligence של MS-ISAC, מתעד שכנופיית כופרה אחת "hired 'Coders,' 'Testers,' 'Penetration Testers,' and other personnel", עם מחלקות שקיבלו תקציבים משלהן. זו חלוקת עבודה עם תלוש משכורת, ושווה להבין אותה במדויק כי היא לא מרשימה אלא דווקא שגרתית.

מה שהקונה עושה אחר כך שייך לעמוד אחר: הצפנה, גניבת נתונים ולחץ דרך אתר דליפה. בכל זאת הערה אחת כאן, כי היא משנה מה שווה גישה: סחיטה נסחפת מהצפנה לכיוון גניבה בלבד, וזה מעלה את הערך של גישה שקטה ועמידה על פני גישה רועשת.

זה לא חדש

רשימת ההפניות של המסגרת עצמה ל-T1650 כוללת דוח מאוקטובר 2012, בכותרת "Service Sells Access to Fortune 500 Firms", לצד מחקר מ-2022 על מתווכי גישה ודוח של Microsoft שמתאר כופרה כשירות ככלכלת gig פלילית.

המודל בן כמעט ארבע עשרה שנים. כל עמוד שמציג מתווכים כהתפתחות מתהווה מתאר את רשימת הקריאה שלו עצמו, לא את האיום.

מה באמת לעשות מול מתווכי גישה ראשונית

התחילו מהמסגור הלא נוח: המוצר של המתווך הוא הקצה החשוף שלכם וההיגיינה של פרטי ההזדהות שלכם, מתומחרים על ידי מישהו אחר. לכן רשימת הבקרות נראית כל כך לא זוהרת. אין בקרה ייעודית למתווך, כי אין חולשה ייעודית למתווך - רק שלכם, שמוערכת על ידי זר.

CIS, בכתיבה לארגוני מדינה, רשות מקומית, שבט וטריטוריה, מפרטת את העבודה: צמצמו את משטח התקיפה, הריצו ניהול פגיעויות עם קצב תיקונים מהיר מספיק כדי לסגור את הפרצות שמתווכים מנצלים, חזקו גישה מרחוק עם מדיניות נעילת פרטי הזדהות, השתמשו באימות רב-שלבי, החילו בקרות גישה והרשאות מינימליות, ובדקו את התוצאה מעת לעת.

שתי תוספות שווה לנסח במפורש.

• נתיב פרטי ההזדהות הוא חצי מהשוק. פרטי הזדהות שנאספים ב-infostealer הם קלט קבוע למלאי של מתווכים, ולכן ניטור חשיפת פרטי הזדהות ורוטציה הם עבודת חשיפה, לא מעקב אחרי מתווכים.
• יש אפשרות חינמית שאף עמוד ספק לא מזכיר. אותה הנחיה של CIS מצביעה על CISA's Cyber Hygiene Services, שזמינים ללא עלות לארגוני SLTT ו"proactively scan your networks, figure out where you're vulnerable". בדקו את היקף הזכאות לפני שאתם מניחים שזה חל עליכם.

אם מכל זה עולה שאלת תקציב, הסדר פשוט: קנו צמצום חשיפה לפני שאתם קונים נראות לשוק שאין לכם השפעה עליו.

מה אנחנו לא יודעים

אין מדד עצמאי לשוק הזה. כל ספירה של מתווכים, מודעות או מחירים שאותרה למאמר הזה היא אוסף של ארגון אחד מזירות שהוא בחר לעקוב אחריהן, בלי מרשם חיצוני ובלי שלב אימות. הבעיה האחות, והגרסה הארוכה של הטיעון הזה, שייכת לצד אתרי הדליפה של האקוסיסטם.

שיוך למתווך כמעט אף פעם לא ניתן להוכחה בדיעבד, כפי שדיווח ה-SOC למעלה מבהיר, ושום דבר בהנחיית הזיהוי של המסגרת לא מרמז אחרת. דוחות אירוע שטוענים למקור מתווך בדרך כלל מסיקים אותו מתזמון ומ-tradecraft.

ולעמוד הזה יש גבול מכוון: הוא לא נוקב בשם אף זירה, לא משחזר אף מודעה, ולא מסביר מכניקות ניטור. נקיבת שמות הזירות תעזור לקוראים הלא נכונים ולא תשנה דבר עבור הנכונים.

שאלות נפוצות

האם מתווך גישה ראשונית זהה לקבוצת כופרה? לא. המוצר של מתווך הוא הדרך פנימה; המוצר של צוות כופרה הוא הסחיטה. אלה תפקידים שונים באותה שרשרת אספקה, והקשר יכול להיות מסחרי - advisory ממשלתי מתעד פעולת כופרה אחת שמגייסת מתווכים ומשלמת להם חלק מהתקבולים.

האם threat intelligence יכול לספר לי אם הגישה שלי למכירה? לפעמים הוא יכול לספר שמשהו פורסם במודעה. הוא לא הופך את המכירה עצמה לניתנת לזיהוי, כי העסקה מתרחשת מחוץ לסביבה שלכם, והוא לא מצמצם את החשיפה שהפכה את הגישה לסחירה מלכתחילה. התייחסו אליו כהשלמה לעבודת חשיפה, אף פעם לא כתחליף.

למה מספרי מחיר נבדלים כל כך בין דוחות? אוספים שונים, שנים שונות והגדרות שונות. נתון אחד שחוזר בהרחבה מתאר את 2020 ומתפרסם בזמן הווה; מערך הנתונים שמצוטט הכי הרבה לתמחור מראה ממוצעים בירידה לאורך 2024. תמיד בדקו איזו שנה נתון מתאר לפני שאתם חוזרים עליו.

האם רכישת גישה אומרת שהתוקף לא מיומן? היא אומרת שהוא בחר לא לבזבז זמן על הכניסה. הנימוק של המסגרת עצמה הוא שרכישת גישה מאפשרת ליריב "focus their efforts on later stages of compromise". המהירות וההתמחות הן הנקודה, והתייחסות לזה כשאלת מיומנות מפספסת את המודל.

אם מצאנו חדירה ישנה, האם זה אומר שהגישה שלנו נמכרה? לא באופן שניתן להוכחה. התגובה השימושית זהה בכל מקרה: בררו לאן הגישה הגיעה, הניחו שאולי היא שותפה או נמכרה מחדש, וסגרו את הנתיב במקום את האירוע.

מה לבדוק השבוע

ארבעה מהלכים, לפי הסדר, כל אחד נשען על המקורות למעלה.

1. מפו וצמצמו את הקצה החשוף לאינטרנט. שירותי גישה מרחוק ויישומים שפונים ל-web הם המוצר שנמכר; כל דבר שאתם מורידים מהאוויר לא יכול לעלות למודעה.
2. סגרו את נתיב פרטי ההזדהות. אימות רב-שלבי, מדיניות נעילה, ורוטציה כשפרטי הזדהות מופיעים בנתוני חשיפה. גישה מתווכת מתחילה לעתים קרובות ב-login שעובד.
3. תעדפו מחדש התראות חדירה מוקדמות. התייחסו להתראת גישה קטנה כאל מהלך פתיחה אפשרי של מבצע שמישהו אחר יסיים, שבועות אחר כך.
4. בדקו כל מספר שוק לפני שהוא מגיע לשקף. איזו שנה הוא מתאר, מי אסף אותו, והאם זה ממוצע שמסתיר זנב ארוך?

אתם לא יכולים להגיע לשוק הזה, לנהל איתו משא ומתן, או להוריד אותו מהצד שלכם. מה שאתם יכולים לעשות הוא להפוך את מה שהוא מוכר לפחות שווה קנייה, ולוודא שכשמישהו כן קונה, הדבר הראשון שהוא נוגע בו מדליק משהו.