Initial access broker: chi vende l’accesso alle aziende e come si forma il prezzo

Un initial access broker è un intermediario criminale. Ottiene l’accesso alla rete di un’organizzazione e lo rivende a chi la attaccherà. Chi compra è di solito un affiliato di un gruppo RaaS (ransomware as a service). Questi gruppi affittano il proprio ransomware ad altri criminali, gli affiliati, che compiono gli attacchi. Il broker non cifra i dati e non chiede il riscatto.

Europol definisce nell’IOCTA 2025 la vendita di accessi a sistemi e account compromessi una parte fiorente dell’ecosistema criminale. Aggiunge che le piattaforme specializzate sono popolari tra gli affiliati di livello più basso dei gruppi ransomware. Questi affiliati usano gli accessi come punto d’ingresso.

La testata ha già trattato il modello di servizio in Cybercrime as a Service e in Agentic Crime-as-a-Service. Questo articolo guarda lo strato intermedio. Spiega chi vende la porta d’ingresso, come si forma il prezzo e che cosa significa, per un’azienda, trovare il proprio accesso in vendita.

Che cosa vende un initial access broker

L’accesso a una rete passa di mano in tre passaggi. Prima nasce: qualcuno ruba credenziali (nome utente e password) o sfrutta una vulnerabilità. Poi il broker verifica che funzioni e lo mette in vendita. Infine l’affiliato lo compra, sottrae i dati, cifra i sistemi e chiede il riscatto.

Secondo Europol i broker uniscono credenziali valide e altre tecniche per rendere l’accesso persistente, cioè utilizzabile a lungo nel sistema compromesso. Poi lo vendono.

Il rapporto di KELA sul cybercrime 2026 riferisce che le credenziali compromesse si vendono in due modi: una per una, tramite gli initial access broker, oppure in blocco. Tra i compratori KELA elenca operatori indipendenti, gruppi ransomware organizzati e gruppi APT.

Come un initial access broker ottiene l’accesso

Europol descrive più vie. I broker le usano spesso insieme o in alternativa.

La prima è l’ingegneria sociale, cioè l’inganno di una persona per ottenere credenziali valide. Europol segnala la crescita del vishing, il phishing per telefono. La vittima viene convinta a inserire le credenziali in un sito falso o a installare strumenti legittimi di accesso remoto. Broker e operatori ransomware usano sempre più questa tecnica per raccogliere credenziali VPN e di utenti.

La seconda è lo sfruttamento delle vulnerabilità. Secondo Europol i broker controllano con attenzione le falle dell’infrastruttura esposta su internet: server web, dispositivi di rete, firewall, VPN e servizi cloud. Usano kit di exploit, cioè strumenti pronti per sfruttare una falla, contro vulnerabilità note e non corrette. Ricorrono anche ad attacchi a forza bruta contro servizi configurati male. In questi attacchi provano di continuo credenziali diverse finché una funziona.

L’ENISA indica nel Threat Landscape 2025 un’altra via: gli infostealer, programmi che sottraggono dati dai computer infetti. Venduti sui mercati criminali, servono soprattutto per rubare credenziali, dirottare le sessioni e intermediare accessi.

Gli initial access broker più avanzati operano in privato. Europol indica che di solito non pubblicizzano le proprie capacità. Vendono direttamente a gruppi criminali, forse in cambio di una percentuale dei guadagni dell’acquirente.

Quali accessi si vendono

Gli annunci riguardano soprattutto servizi di accesso remoto esposti su internet: il desktop remoto (RDP), le VPN per il lavoro da remoto e l’accesso web ai desktop remoti (RDWeb). Le quote cambiano con il periodo e con i forum osservati:

• Cyjax, annunci del 2024 sui principali forum in inglese e in russo: RDP 24%, VPN 23%, RDWeb 10%;
• Rapid7, analisi del 31 marzo 2026 su cinque forum e 530 annunci: RDP 21,2%, VPN 12,8%, RDWeb 11,2%;
• Check Point, annunci del 2024 su quattro forum: VPN al 33% delle offerte, in crescita sul 2023, quando prevaleva l’RDP.

L’ENISA riferisce che nel 2024 le vendite di accessi VPN sono aumentate bruscamente. Quelle di RDP e di dati personali sono rimaste stabili. Nel rapporto dell’agosto 2025 Rapid7 osserva che gli accessi VPN, il 23,5% degli annunci analizzati, sono spesso venduti con credenziali valide e senza autenticazione a più fattori (MFA). L’MFA è il secondo controllo richiesto oltre alla password.

Variano anche i privilegi offerti, cioè i poteri dell’account venduto. Un amministratore di dominio può agire su tutta la rete, un amministratore locale su una sola macchina. Nell’analisi del 2026 Rapid7 conta, tra i livelli più offerti, utente di dominio al 42,9%, amministratore di dominio al 32,1% e amministratore locale al 12,5%.

Come si forma il prezzo di un accesso

Le cifre pubblicate non si confrontano facilmente. Cambiano i forum osservati, il periodo e il metodo di calcolo.

Le cifre disponibili

• KELA, oltre 1.000 annunci da luglio 2020 a giugno 2021: media di 5.400 dollari e mediana di 1.000;
• Check Point, quattro forum: nel 2023 media di 1.979 dollari e mediana di 1.000; nel 2024 media di 2.047 dollari, con il 58% degli annunci sotto i 1.000 dollari e l’86% sotto i 3.000;
• ENISA, da luglio 2024 a giugno 2025: la maggior parte degli accessi costa meno di 2.800 euro (circa 3.000 dollari); il mercato si orienta verso vendite più economiche e più numerose;
• Rapid7, su RAMP: prezzo base medio di quasi 6.400 dollari, per aziende con un fatturato medio dichiarato di circa 440 milioni di dollari.

KELA e Check Point indicano la stessa mediana, 1.000 dollari: metà degli annunci costa meno, metà costa di più. In entrambi i casi la media è più alta della mediana, perché pochi annunci molto cari alzano la media.

Che cosa fa salire il prezzo

Per Europol il prezzo dipende da questi elementi: settore, dimensioni e fatturato dell’azienda, area geografica, tipo e livello di accesso, persistenza ed esclusività dell’offerta. Un accesso persistente resta utilizzabile a lungo. Uno esclusivo va a un solo compratore. Sempre secondo Europol, sono molto richieste le aziende ad alto fatturato in Europa e in Nord America.

KELA ha rilevato che l’accesso da amministratore di dominio costava almeno dieci volte quello a una macchina con diritti da utente. Nei suoi dati le offerte per le piccole aziende stavano intorno ai 100-200 dollari.

Per Rapid7 le credenziali ad alto privilegio valgono di più. Aggiunge che il fatturato indicato negli annunci è una stima dei broker, ottenuta con ricerche proprie, e può essere inesatto.

Come si vende: asta, quota del riscatto o accordo diretto

Europol distingue due offerte. Le credenziali vendute in blocco non sono verificate. Gli annunci degli initial access broker descrivono invece l’organizzazione compromessa e a volte mettono l’accesso all’asta.

Esiste anche la quota sul riscatto. Il Dipartimento di giustizia degli Stati Uniti indica che Aleksei Volkov, broker per il gruppo Yanluowang, riceveva una parte dei riscatti pagati. The Record riporta, in base al patteggiamento, una quota di oltre 256.000 dollari.

Mandiant descrive un terzo modo di cedere l’accesso. I partner di accesso iniziale, spiega, lavorano direttamente con i gruppi secondari, cioè quelli che portano avanti l’attacco. Non vendono l’accesso sui mercati clandestini.

Dove si vende e quanto cresce il mercato

CrowdStrike rileva nel Global Threat Report 2025 che nel 2024 gli annunci dei broker sono aumentati del 50% su base annua. Spesso offrono credenziali valide rubate.

I forum sono il luogo d’incontro tra venditori e compratori. Uno di questi, RAMP, è stato sequestrato dall’FBI. Il 28 gennaio 2026 The Register ha riferito dell’operazione, condotta con la procura del distretto Sud della Florida e la sezione crimini informatici del Dipartimento di giustizia. Secondo il giornale il forum era frequentato da gruppi RaaS, estorsori e broker di accesso.

Nell’analisi di marzo 2026 Rapid7 ha contato 208 annunci su RAMP, su 530 totali. DarkForums ne aveva 221. Rapid7 non chiarisce il periodo coperto: il conteggio può quindi precedere il sequestro.

Tammy Harper di Flare, citata da The Register, sostiene che togliere un nodo importante non elimina l’ecosistema: lo costringe a spostarsi altrove. Un presunto operatore di RAMP ha scritto che continuerà a comprare accessi.

Dall’accesso al ransomware: i tempi

Il tempo tra la vendita di un accesso e l’attacco è stato misurato solo su casi singoli. KELA ha ricostruito il caso di Gyrodata. L’accesso è stato annunciato il 16 gennaio 2021 e venduto il 18. DarkSide ha rivendicato la vittima il 20 febbraio, 33 giorni dopo la vendita. KELA avverte che non sempre si può stabilire quanti attacchi seguano una vendita.

Mandiant misura un altro intervallo: quello tra i partner di accesso iniziale e i gruppi secondari che lavorano con loro. Il tempo mediano tra l’accesso iniziale e il passaggio al gruppo secondario era di oltre 8 ore nel 2022. Nel 2025 era di 22 secondi. I partner, spiega Mandiant, preparano in anticipo il malware o i tunnel preferiti dal gruppo secondario. Il dato non riguarda le vendite sui forum.

Mandiant indica anche il peso della categoria «prior compromise» (compromissione precedente). Il post non precisa il legame di questa categoria con gli accessi venduti. È il terzo vettore di accesso iniziale, cioè la terza via d’ingresso, su tutte le intrusioni, con il 10%. Nelle intrusioni ransomware è il primo, con il 30%, contro il 15% del 2024.

Nel rapporto 2026 KELA ritiene probabile che alcuni gruppi ransomware accorcino i tempi dell’intrusione comprando accessi già pronti dai broker. Per Akira KELA fa un’ipotesi: gli affiliati avrebbero comprato credenziali da broker. Il gruppo stesso scrive, nelle note di riscatto e nei rapporti consegnati alle vittime, che l’accesso iniziale alla rete è stato acquistato sul dark web.

Cyjax ha individuato possibili collegamenti tra annunci del 2024 e attacchi di estorsione compiuti poi da gruppi noti, tra cui Play, Lynx, Hellcat, Hunters International e BlackBasta.

Il quadro italiano

Che cosa dice il CSIRT Italia

Il bollettino BL01/260528/CSIRT-ITA del CSIRT Italia, pubblicato il 28 maggio 2026 e aggiornato il giorno dopo, descrive le campagne del gruppo Qilin dall’inizio del 2026. Le campagne colpiscono soprattutto piccole e medie imprese. Colpiscono anche alcuni fornitori di servizi cloud.

Il bollettino indica due vie d’ingresso. La prima è lo sfruttamento di vulnerabilità note su dispositivi perimetrali esposti, cioè posti al confine tra la rete aziendale e internet. Il bollettino cita Ivanti (CVE-2026-1281 e CVE-2026-1340) e Fortinet (CVE-2024-21762 e CVE-2024-55591). La seconda è l’uso di credenziali VPN compromesse, ottenute con attacchi a forza bruta o tramite initial access broker.

Registra anche tentativi di accesso non autorizzato con la forza bruta. Spiega che il fenomeno è favorito dall’assenza dell’autenticazione a più fattori. Quando a essere violati sono i fornitori, cita anch’esso il ricorso a initial access broker.

L’ACN, nell’Operational Summary di agosto 2026, indica lo sfruttamento di vulnerabilità come prima via d’ingresso. Seguono le credenziali valide già compromesse e la posta elettronica. Il documento conta 49 rivendicazioni di attacchi ransomware contro soggetti italiani, cioè annunci con cui i gruppi dichiarano un attacco. Precisa che le vittime non sempre le confermano.

L’Italia negli annunci

Cyjax colloca l’Italia al decimo posto tra i paesi bersaglio degli annunci del 2024, con il 2,48% del totale. Gli Stati Uniti sono al 34,12%.

Un broker arrestato a Roma

Il Dipartimento di giustizia riferisce che Aleksei Volkov, cittadino russo di 26 anni, è stato arrestato a Roma ed estradato negli Stati Uniti. Ha patteggiato il 25 novembre 2025. Il 23 marzo 2026 è stato condannato a 81 mesi di carcere.

Secondo il Dipartimento, Volkov cercava vulnerabilità nelle reti, trovava il modo di entrarvi e vendeva l’accesso ai complici. I complici distribuivano poi il ransomware. Il Dipartimento gli attribuisce un ruolo in decine di attacchi negli Stati Uniti, con perdite effettive superiori a 9 milioni di dollari. Volkov ha accettato di restituire almeno 9.167.198,19 dollari alle vittime note.

Che cosa significa per un’azienda avere l’accesso in vendita

Un annuncio non prova da solo che l’azienda sia stata violata. Le fonti mostrano però che cosa hanno in comune gli accessi in vendita e gli incidenti documentati.

Che cosa documentano le fonti

Due fonti già citate indicano lo stesso punto debole: l’assenza di MFA. Il CSIRT Italia lega i tentativi di forza bruta all’assenza dell’autenticazione a più fattori. Rapid7 osserva che gli accessi VPN in vendita hanno spesso credenziali valide e nessuna MFA.

Verizon indica nel DBIR 2026 che nel 2025 le organizzazioni hanno risolto per intero solo il 26% delle vulnerabilità critiche. Per Verizon sono critiche quelle del catalogo KEV della CISA, cioè le vulnerabilità note come già sfruttate. L’anno prima la quota era il 38%. Il tempo mediano per risolverle è salito a 43 giorni, da 32.

Rapid7 spiega che i broker possono tenere l’accesso per un certo tempo. In quel periodo chi difende ha una finestra per accorgersi dell’intrusione. Mandiant raccomanda di trattare gli allarmi di malware di routine come indizi di un’intrusione secondaria imminente. Consiglia di bonificare i sistemi prima che inizi l’attività manuale degli attaccanti.

Letture della redazione

Le letture che seguono sono della redazione. Nessuna fonte le sostiene in questa forma.

1. Un accesso in vendita è un accesso che funziona o ha funzionato. Obiezione: l’annuncio è una dichiarazione del venditore. Rapid7 precisa che anche il fatturato indicato è una stima del broker e può essere inesatto.
2. Il tipo di accesso venduto indica dove l’organizzazione è più esposta. Una VPN senza MFA o un dispositivo di rete non aggiornato sono le vie che le fonti citano più spesso. Obiezione: i forum mostrano solo la parte pubblica del mercato. Mandiant ed Europol descrivono accessi di valore ceduti in privato.
3. Un prezzo basso non indica un rischio basso. Un annuncio sotto i 3.000 dollari e una quota di riscatto sopra i 256.000 hanno valori molto diversi. Obiezione: il confronto poggia su un solo caso giudiziario. Nessuna fonte misura il rapporto tra prezzo dell’accesso e riscatto.

Che cosa fare

Le fonti indicano pochi controlli:

• attivare l’autenticazione a più fattori su tutti gli accessi remoti, compresi quelli di fornitori e consulenti (CSIRT Italia);
• aggiornare in fretta i dispositivi esposti su internet e i sistemi citati nel bollettino (Ivanti, Fortinet, VMware ESXi, Veeam), e dismettere o isolare quelli non più supportati (CSIRT Italia);
• controllare i mercati clandestini per cercare credenziali rubate, dati di sessione e accessi in vendita che riguardano la propria organizzazione (KELA);
• revocare subito le sessioni compromesse, reimpostare gli account coinvolti e verificare i dispositivi interessati (KELA);
• coprire tutti i sistemi con un EDR (rilevamento e risposta sugli endpoint), tenere backup offline o immutabili e centralizzare i registri su infrastrutture protette (CSIRT Italia).

Per i soggetti importanti della NIS, l’Allegato 1 alla determinazione ACN 379907/2025 contiene due misure pertinenti. La misura PR.AA-01 riguarda la gestione delle identità e delle credenziali, con verifica periodica e revoca. La PR.AA-03 riguarda l’autenticazione proporzionata al rischio, compresa l’MFA.

Initial access broker: i limiti dei dati

I dati vengono da società di sicurezza che osservano forum diversi in periodi diversi. Per questo quote e prezzi non si sommano. Gli annunci sono dichiarazioni dei venditori.

Rapid7 riporta per i cinque forum un prezzo base medio di 113.275 dollari. Precisa che il valore è influenzato soprattutto da DarkForums. Non definisce il «prezzo base», non riporta la mediana e non chiarisce il periodo coperto. Il rapporto di Check Point contiene cifre che non coincidono tra sintesi e testo, quindi qui compaiono solo quelle riportate in modo coerente.

I dati di KELA su prezzi e mediana risalgono al 2020-2021. Gyrodata è un caso isolato. Il post di Mandiant non definisce «prior compromise» e non indica quante intrusioni compongano il campione. Una parte del mercato, infine, resta fuori dai forum e quindi fuori da queste misure.

Domande frequenti

Che cos'è un initial access broker e che cosa vende?

È un intermediario criminale che ottiene l'accesso alla rete di un'organizzazione e lo rivende, di solito a un affiliato di un gruppo ransomware. Non cifra i dati e non chiede il riscatto.

Quanto costa un accesso aziendale venduto da un broker?

Dipende dalla fonte. KELA e Check Point indicano una mediana di 1.000 dollari, mentre l'ENISA indica che la maggior parte degli accessi costa meno di 2.800 euro. Le medie sono più alte, perché pochi annunci costano molto di più.

Che cosa fa aumentare il prezzo di un accesso in vendita?

Europol cita settore, dimensioni, fatturato, area geografica, tipo e livello di accesso, persistenza ed esclusività. KELA ha rilevato che l'accesso da amministratore di dominio costava almeno dieci volte quello da utente.

Quali accessi vendono più spesso gli initial access broker?

Soprattutto servizi di accesso remoto esposti su internet, come RDP e VPN. Rapid7 osserva che gli accessi VPN sono spesso venduti con credenziali valide e senza autenticazione a più fattori.

Il CSIRT Italia ha segnalato gli initial access broker in Italia?

Sì. Nel bollettino BL01/260528/CSIRT-ITA sul gruppo Qilin indica tra le vie d'ingresso le credenziali VPN compromesse, ottenute con attacchi a forza bruta o tramite initial access broker.