El mundo del cibercrimen dejó hace tiempo de ser una reunión caótica de individuos solitarios. Aquí existe una división de roles, logística y una propia «economía de servicios». En el inicio de la cadena de ataque están los Initial Access Broker — en español, brokers de acceso inicial. Su oficio es conseguir un punto de entrada operativo en la infraestructura ajena y entregarlo a quien continúe la acción: operadores de ransomware, grupos especializados en el robo de datos o equipos dedicados al fraude en el correo corporativo. No es un mito ni una exótica excepción, sino la rutina diaria del submundo. Analizaremos cómo funciona este mercado hoy, de dónde provienen los «productos», cómo se fija el precio, dónde se realizan las transacciones y qué medidas realmente complican la labor de estos intermediarios.
Quiénes son los brokers de acceso inicial
IAB son intermediarios que convierten una intrusión inicial en un producto «exhibible». No necesariamente llevan el ataque hasta el rescate o el robo masivo; su interés es construir una entrada estable y entregarla. En venta están cuentas para acceso remoto, sesiones activas a servicios corporativos, web shells en nodos perimetrales, paneles administrativos de gestión remota, cuentas en la nube y, a veces, accesos con privilegios elevados. Los compradores son afiliados de ransomware, grupos orientados a filtraciones o participantes en esquemas de suplantación de datos de pago en la correspondencia.
Qué venden
- VPN y otros accesos remotos — cuentas operativas, a veces con elusión de la verificación multifactor mediante tokens robados o sesiones activas.
- RDP y VDI — acceso directo a escritorios o entornos virtuales, a menudo acompañado de una breve guía sobre segmentos de red y el rol del nodo.
- Paneles de administración remota — sistemas tipo RMM, herramientas de soporte técnico y consolas de gestión que, tras la compromisión, se convierten en un cómodo trampolín hacia la red.
- Web shells en el perímetro — puertas en portales, pasarelas y servicios intermedios a través de las cuales se pueden ejecutar comandos y cargar herramientas adicionales.
- Cuentas en la nube y SSO — acceso al correo, a los almacenes y a aplicaciones corporativas a través de proveedores de identidad; a menudo incluyen cookies, tokens y materiales para superar los controles de acceso.
- «Registros» de infostealers — conjuntos de contraseñas, autocompletados y cookies extraídas de navegadores infectados, de los que se obtienen credenciales de trabajo para servicios internos y plataformas externas.
De dónde proviene la «mercancía»
- Infostealers y redes de tráfico. Trampas publicitarias, páginas de descarga falsas, actualizaciones fraudulentas, compilaciones piratas: todo ello aporta a los delincuentes cookies, contraseñas y marcadores de sesión. De esos paquetes se extraen accesos a servicios corporativos, correo y VPN.
- Phishing y proxificación del acceso. Suplantación de páginas de autenticación, robo de códigos de un solo uso, interceptación de tokens y extracción engañosa de confirmaciones en el teléfono.
- Explotación de vulnerabilidades en el borde de la red. Pasarelas y servicios públicos son un objetivo apetecible. Una explotación exitosa proporciona un punto de entrada sin ruido adicional, a veces con captura instantánea de una sesión activa.
- Ataques por fuerza bruta y protección débil. La simple adivinación de contraseñas en RDP, VPN o paneles de administración sigue ocurriendo. Donde la protección multifactor está implementada solo «para la foto», los atacantes presionan al usuario con solicitudes persistentes de confirmación.
- Filtraciones desde programas de afiliados. Parte de los IAB no obtienen accesos por sí mismos, sino que los compran a proveedores menos «calificados» y los revenden con un margen, añadiendo descripción de la infraestructura.
Dónde y cómo se realizan las transacciones
El comercio se realiza en foros cerrados, en marketplaces semipúblicos con garantía de escrow y en canales privados. Un lote típico parece una ficha de tienda online: país, sector, facturación aproximada, tipo de acceso, nivel de privilegios, detalles técnicos, condiciones de verificación y precio. Para confirmar que está «vivo», el vendedor ofrece un fragmento de información —por ejemplo, una sesión limitada, una captura del panel o la lista de recursos disponibles. El dinero lo retiene un garante hasta que finaliza la verificación; después se transfieren todos los detalles y el acceso se «traslada» al comprador.
Cómo se fija el precio
Varios factores influyen en el coste. Lo principal es la capacidad de monetización: cuanto más rápido y fiable pueda el comprador convertir el acceso en dinero, mayor será el precio. Importan el sector, los ingresos, la geografía, el nivel de privilegios, la visibilidad dentro de la red, el estado del perímetro, la presencia de segmentos protegidos y sistemas de copia de seguridad. También cuenta la rareza del vector: una vulnerabilidad reciente en un dispositivo popular o el acceso a un panel de administración puede valer mucho más que un par usuario-contraseña estándar para un escritorio remoto. El rango varía desde cientos hasta decenas de miles de dólares. Oleadas masivas de infostealers generan un exceso de cuentas baratas, mientras que los accesos «bonitos» se venden por sumas premium.
Por qué funciona y seguirá funcionando
El mercado sobrevive gracias a la especialización. Unos saben cómo obtener la «materia prima», otros son expertos en desarrollar la intrusión y negociar rescates. Esta modularidad acelera el ciclo, reduce la barrera de entrada para los novatos y aumenta la resistencia ante los golpes contra plataformas concretas. Las detenciones de administradores de foros o cierres de tiendas populares cambian las rutas, pero no eliminan la idea: las transacciones se trasladan a chats privados, surgen puntos de venta temporales y crece la proporción de tratos entre conocidos. La ecosistema se adapta y sigue suministrando nuevo «inventario» para ataques.
Qué suele ocurrir después de la compra
El comprador toma el acceso y comienza de inmediato el reconocimiento. Se usan herramientas para inventariar el dominio, recopilar información sobre grupos y privilegios, escanear segmentos internos y probar escaladas de privilegios. A partir de ahí hay distintas metas: algunos buscan el rescate y rastrean copias de seguridad y sistemas críticos; otros amplían su presencia y exfiltran correspondencia comercial, contratos y bases de datos de clientes. El tiempo entre la compra y la fase destructiva suele ser corto; a veces se trata de pocas horas, especialmente si el punto de entrada ofrece acceso cómodo a nodos relevantes.
Cómo saber que lo han «expuesto en la vitrina»
- Intentos inusuales de acceso remoto por la noche o en fines de semana desde sistemas autónomos y países desconocidos donde no tienen personal.
- Oleada de rechazos en verificaciones multifactor en empleados concretos, y una lluvia de notificaciones de confirmación.
- Comandos de reconocimiento cortos en servidores y estaciones de trabajo donde antes no se veían: listado de usuarios, grupos, dominios y recursos compartidos de red.
- Actividad inesperada de agentes RMM o la aparición de nuevos programas «de soporte» en dispositivos de usuarios.
- Scripts web nuevos en recursos perimetrales, cambios repentinos en la configuración de pasarelas o tareas desconocidas en el programador de tareas.
Errores que benefician a los IAB
- Falta de controles resistentes al phishing y tokens de sesión con vida excesiva.
- RDP expuesto al exterior, paneles de gestión visibles públicamente y consolas administrativas accesibles desde fuera.
- Procesos de parcheo lentos en el perímetro y vulnerabilidades críticas sin cerrar.
- Permitir la ejecución libre de scripts en estaciones de trabajo, utilidades administrativas confiadas «por defecto» y ausencia de listas blancas.
- Uso de la misma contraseña por un empleado para correo, VPN y servicios externos; cookies persistentes en el navegador sin reautenticación forzada.
Prácticas de prevención: hacer que el acceso sea costoso y ruidoso
- Perímetro bajo control. Cierre todo lo innecesario y priorice las actualizaciones de pasarelas, portales y servicios remotos. Para la administración remota use nodos intermedios de acceso y listas estrictas de fuentes.
- Controles de acceso resistentes al phishing. Llaves físicas, códigos de un solo uso y protocolos que impidan la proxificación de la autenticación mediante páginas falsas. Bloquee el «bombardeo» de notificaciones y limite el número de solicitudes de confirmación.
- Listas blancas de aplicaciones en estaciones de trabajo. Un modelo permitente reduce el riesgo de que un script entregado se convierta en cabeza de puente. Limite las utilidades del sistema que suelen emplearse como contenedor para código ajeno.
- Política estricta para RMM y herramientas de soporte. Permita solo herramientas verificadas, compilaciones firmadas y versiones concretas. Cualquier nuevo agente o módulo debe solicitarse y aprobarse mediante un proceso controlado.
- Higiene de navegadores. Gestores de contraseñas con una clave maestra separada, mínimo conjunto de extensiones, prohibición de descargas automáticas desde fuentes dudosas, restablecimiento regular de sesiones y verificación de los dispositivos desde los que se accedió.
- Segmentación y limitación del tráfico saliente. Reduzca los caminos desde una estación de usuario hacia sistemas críticos, controle las conexiones salientes y detecte túneles atípicos.
Detección: qué registrar y qué vigilar
- Accesos remotos. Registre eventos de autenticación, geolocalización, sistemas autónomos y huellas de dispositivo. Establezca perfiles básicos de los empleados para detectar anomalías.
- Scripts y utilidades del sistema. Registre la ejecución de scripts, accesos a interfaces sensibles e intentos de desactivar componentes de seguridad y telemetría.
- Eventos de red en estaciones de trabajo. Observe conexiones cifradas prolongadas desde procesos que normalmente no se comunican con Internet.
- Perímetro y aplicaciones web. Busque picos de errores de autenticación, secuencias inusuales de peticiones y POST inesperados a endpoints de carga de módulos.
- RMM y acciones administrativas. Registre todo lo que cambie configuraciones, despliegue agentes, conceda privilegios o cree nuevas tareas.
Respuesta: qué hacer si la sospecha se confirma
- Aislamiento del punto de entrada: bloqueo de la cuenta, revocación de tokens, cierre de sesiones y desconexión del servicio expuesto.
- Recolección de evidencias: logs de autenticación, configuraciones de pasarelas, eventos en estaciones de trabajo, registros de red y volcados de memoria si hay signos de ejecución de código.
- Comprobación de la propagación: inventario de nuevas cuentas, claves añadidas, privilegios, tareas programadas, suscripciones a eventos del sistema y cambios en políticas de grupo.
- Restablecimiento de secretos: cambio forzado de contraseñas, revocación de certificados, reducción del TTL de las sesiones y actualización de material criptográfico en sistemas sensibles.
- Comunicación: informar a los responsables, documentar la línea temporal, preparar un informe para la dirección y el departamento legal. Una notificación a tiempo ayuda a evitar reingresos a través de «colas» antiguas.
Prevención mediante procesos
Las tecnologías son importantes, pero sin procesos no se logra nada. Es necesario un ciclo rápido de actualizaciones para servicios perimetrales, entrenamientos regulares del equipo de respuesta, reglamentos claros para el trabajo con accesos remotos, criterios unificados para la aprobación de herramientas de soporte y revisiones periódicas de puertos abiertos y recursos públicos. Conviene además realizar ejercicios que simulen la venta de accesos: compruebe qué tan rápido el SOC detecta acciones preparatorias, ve entradas anómalas y el despliegue de herramientas dentro de la red.
Una mirada honesta a las «píldoras mágicas»
Prohibir el acceso remoto suena drástico, pero es incompatible con la realidad. Ninguna protección de un solo producto salvará por sí sola. Funciona la combinación: controles de acceso bien configurados, actualizaciones rápidas, segmentación, restricciones de ejecución, control del tráfico saliente y atención a los registros. Cuanto más caro y ruidoso sea para el atacante afianzarse, mayor será la probabilidad de que los IAB cambien de objetivo.
