IAB 초기 접근 중개자

IAB는 조직의 시스템이나 네트워크에 들어갈 수 있는 접근 권한을 확보해 다른 공격자에게 판매하거나 중개하는 행위자를 말합니다.

중개 대상은 탈취한 계정이나 이미 침해된 환경의 접근 수단 등일 수 있습니다. 최초 침투를 한 행위자와 이후 랜섬웨어를 실행한 행위자가 다를 수 있다는 점을 설명하는 개념입니다.

계정 도용이 먼저 발생하고 시간이 지난 뒤 같은 조직에서 랜섬웨어 피해가 확인될 수 있습니다. 두 사건의 시간 차이만으로 거래를 단정할 수는 없지만 초기 접근과 후속 공격을 함께 조사해야 하는 이유가 됩니다.

Initial access는 침투 목표나 활동을 뜻하고 IAB는 그 접근을 거래하는 역할을 뜻합니다. RaaS 운영자, 제휴 공격자와 역할이 겹칠 수 있으나 항상 동일한 주체는 아닙니다.

외부에 계정 정보가 있다는 주장만으로 현재 유효한 접근 권한이 있다고 확정하지 않습니다. 실제 사용 흔적과 계정 상태를 확인해야 하며 유출된 자격 증명을 시험 사용하거나 거래하는 행동으로 이어져서는 안 됩니다.