企業ネットワークへのアクセスは、大量に入手する場合はより安価になる一方、犯罪市場の上位層ではその価値が大幅に高まっています。
この矛盾こそが、2026年を迎えるアイデンティティ脅威経済の実態を象徴しています。数十億件に及ぶ盗難認証情報によって基本的なログイン情報は使い捨て同然の存在になった一方、大企業への確実な侵入経路は、ランサムウェアや恐喝、スパイ活動のための高級資産として売買されるようになっているのです。
初期アクセスブローカー(IAB)は、侵入行為そのものを実行するのではなく、被害者環境への確立された侵入経路を販売する存在です。
それでも、この動向は看過できない意味を持っています。ブローカーが宣伝する組織の平均想定売上高は32億4,200万ドルに達し、1年前の22億3,200万ドルから大きく上昇しました。
一方で、主流の市場は依然として低価格帯にとどまっています。Rapid7が2025年前半に収集したデータセットによると、価格が判明している出品の約40%が500ドルから1,000ドルの範囲に収まっており、70%以上に何らかの特権が付与されていました。
ドメインユーザー権限、ローカル管理者権限、ドメイン管理者権限を伴うアクセスは、単純な認証情報の侵害を、横展開やランサムウェア展開の足がかりへと変貌させます。
後半のデータセットでは、政府機関が全体の14.2%を占めて最多となり、小売業が13.1%、IT業界が10.8%で続きました。
防御側にとって、こうした出品情報は単なる犯罪者の広告ではありません。攻撃者が収益化できると見込んでいるアクセス経路やデータセット、業界を示す、不完全ながらも有用な需要シグナルなのです。
供給過多は、一般的なアイデンティティデータの価値を目減りさせています。KELAによれば、2025年には28億6,000万件の侵害された認証情報が確認されており、そのうち業務用クラウドおよび認証サービスに関連するものが流出データ全体の30%以上を占めています。
データマネジメント
インフォスティーラー型マルウェアは、保存済みパスワードやブラウザデータ、認証クッキー、ウォレット関連情報を大量に収集し、検索可能なログへと加工します。
Rapid7の研究者らによると、主要なアンダーグラウンドフォーラム5カ所を調査した結果、初期アクセスブローカーによる出品の平均基準価格は、2024年の2,726ドルから2025年後半には113,275ドルへと、4,055%も上昇していることが判明しました。
ダークウェブの企業アクセス
したがって、ユーザー名とパスワードの組み合わせだけでは、本人性を証明する根拠としては弱いと言えます。特に、それが使い回されていたり、管理下にあるエンドポイント経由で漏洩していたり、セッション関連情報と組み合わされていたりする場合はなおさらです。
セッション情報の窃取は、認証手続き自体を丸ごと迂回できてしまう点で特に重大です。盗まれたクッキーやトークンがあれば、攻撃者はパスワードを入力したり多要素認証(MFA)の確認に応答したりすることなく、すでに認証済みのブラウザセッションをそのまま再生できてしまう可能性があります。
このリスクの大きさは、アプリケーションの設計、トークンの有効期間、失効管理の仕組み、デバイスやチャネルとの紐付けの有無によって左右されます。
組織としては、異常なトークンの再利用、セッション確立後に発生する「不可能な移動」(短時間での遠隔地からのアクセス)、新規デバイスのフィンガープリント、突然の権限変更といった事象を、アイデンティティ関連のテレメトリと照合すべき信頼性の高いシグナルとして扱う必要があります。
市場の混乱もまた、こうした数字に影響を与えています。Rapid7の観測によれば、2025年後半にはDarkForumsとRAMPの2つのフォーラムだけでIABの販売スレッド全体の81%を占める一方、XSSやExploitといった老舗フォーラムでは活動が減少しました。
法執行機関による圧力やフォーラムの移転は、出品を一時的に特定の場所へ集中させ、宣伝される価格をつり上げ、取引を非公開チャネルへと押しやる要因となり得ます。
そのため、価格に関する情報は、単一の決定論的なリスク指標として提示するのではなく、フォーラムの活動状況、情報源の網羅性、実際に観測された取引の証拠と合わせて、推移として捉えるべきです。
セキュリティチームは、従業員や取引先に関する認証情報の漏洩を継続的に監視し、フィッシング耐性のあるMFAを導入し、セッションの有効期間を短縮し、可能な範囲でセッションを特定のデバイスやチャネルに紐付け、リスクの発生後は速やかにトークンを失効させ、外部に公開されているVPNやリモートアクセス、SaaS、管理用の経路をテストする必要があります。
ダークウェブにおける価格の変動から侵入を予測することはできませんが、攻撃者がどこに投資しているのかを見極める手がかりにはなります。認証情報が飽和状態にある市場では、盗まれた記録が実際の企業侵害へと発展するかどうかを左右するのは、パスワードではなく、強靭なアイデンティティ管理体制なのです。
[ライブウェビナー] Elasticと UnderDefenseが開催する本ウェビナーでは、小規模なセキュリティチームがAIによる可視化と自律的な対応を単一の運用モデルに統合する方法を解説します。参加はこちら -> 今すぐ登録
翻訳元: https://gbhackers.com/dark-web-corporate-access/
