Een initial access broker is een cybercrimineel die inbreekt bij organisaties en die toegang vervolgens doorverkoopt op het dark web, meestal aan ransomwaregroepen. Jouw gestolen inloggegevens zijn dus geen eindpunt, maar handelswaar.
In onze live dark web-sessies zie ik directies vaak hetzelfde moment beleven: het besef dat werkende inloggegevens van hun organisatie nu al ergens in een advertentie staan. Die advertenties komen van initial access brokers: zij hacken niet om zelf te gijzelen, maar om te verkopen. Hieronder leg ik uit hoe die markt werkt, wat toegang tot een bedrijf kost en welke maatregelen de keten echt doorbreken.
Kort samengevat
- Definitie: een initial access broker (IAB) verkoopt bestaande toegang tot bedrijfsnetwerken op dark web-fora, in plaats van zelf ransomware uit te rollen.
- Bron van de toegang: infostealer-malware op laptops en privé-apparaten, phishing, hergebruikte wachtwoorden en VPN- of RDP-toegang zonder multifactorauthenticatie.
- Prijs: uit het Access Brokers Report 2025 van Rapid7 blijkt dat toegang vaak voor minder dan 1.000 dollar wordt verkocht en dat bijna 40 procent van de advertenties tussen 500 en 1.000 dollar ligt.
- Diepgang: meer dan 70 procent van de advertenties bood niet alleen toegang, maar ook gebruikersrechten aan. Brokers blijven dus rondkijken in je netwerk voordat ze verkopen.
- Wat werkt: phishingresistente MFA, monitoring op gelekte inloggegevens, hardening van Active Directory en het detecteren van verdachte inlogs. Papieren compliance alleen stopt geen enkele verkoop.
Wat is een initial access broker precies?
Een initial access broker is een gespecialiseerde crimineel die één taak uitvoert in de cybercrimeketen: binnenkomen en die toegang te gelde maken. De broker verzamelt geldige inloggegevens of zet een achterdeur op een server, controleert of de toegang werkt, bepaalt wat de organisatie waard is (omzet, sector, land, rechtenniveau) en plaatst een advertentie op een gesloten forum. De koper is meestal een ransomware-affiliate die geen tijd wil verspillen aan de inbraak.
Deze arbeidsdeling maakt aanvallen sneller en goedkoper: de koper begint direct met rechten verhogen, data stelen en versleutelen. Precies daarom is cybercrime geen eenmansactie meer maar een keten, zoals wij ook beschrijven in ons overzicht van het cybercrimebeeld in Nederland.
Hoe komt een initial access broker aan jouw inloggegevens?
Brokers gebruiken zelden exotische technieken. Ze exploiteren de vier meest voorkomende zwakke plekken in vrijwel elke organisatie.
1. Infostealer-malware
Infostealers zijn kleine malwareprogramma’s die in seconden alle opgeslagen wachtwoorden, cookies en sessietokens uit een browser kopiëren. Ze komen binnen via nepsoftware, gekraakte programma’s of een besmette download op een privélaptop waarmee iemand ook zakelijk inlogt. Uit de midyear-editie van het Global Threat Intelligence Report 2026 van Flashpoint blijkt dat infostealers in de eerste helft van 2026 wereldwijd circa 1,7 miljard inloggegevens buitmaakten, verspreid over miljoenen besmette apparaten. Die logs vormen de grondstof van de brokermarkt.
2. Phishing en MFA-moeheid
Een geloofwaardige inlogpagina levert nog altijd de meeste werkende accounts op. Moderne phishingkits onderscheppen ook de MFA-code of stelen de sessiecookie, waardoor de aanvaller zonder tweede factor binnenkomt. Wil je weten hoe weerbaar jouw organisatie hiertegen is, begin dan met een gestructureerde test volgens ons stappenplan voor een phishingtest.
3. Blootgestelde toegang zonder sterke authenticatie
VPN-portalen, RDP-servers, firewalls en beheerinterfaces die vanaf internet bereikbaar zijn en alleen met een wachtwoord beveiligd worden, zijn favoriet. Ongepatchte randapparatuur staat structureel hoog in de advisories van het Nationaal Cyber Security Centrum.
4. Zwakke plekken in Active Directory
Zodra een broker één account heeft, bepaalt de inrichting van je Active Directory hoe ver hij komt. Verouderde serviceaccounts, te ruime rechten en oude protocollen leiden binnen uren tot domeinbeheerdersrechten. Dat zijn precies de misconfiguraties die onze ethische hackers als eerste vinden.
Wat kost toegang tot een organisatie op het dark web?
Veel minder dan directies verwachten. Rapid7 analyseerde honderden advertenties van initial access brokers op fora als Exploit, XSS en BreachForums en zag dat toegang tot een gecompromitteerd bedrijf regelmatig voor minder dan 1.000 dollar wisselt van eigenaar. Bijna vier op de tien advertenties viel in de bandbreedte van 500 tot 1.000 dollar. Meer dan zeven op de tien advertenties bood daarbij ook direct gebruikers- of beheerdersrechten aan.
Die tweede constatering is belangrijk voor je verdediging. Een broker die eerst rechten verzamelt, is dagen tot weken in je netwerk aanwezig voordat de verkoop rondkomt. Dat is de periode waarin je hem kunt betrappen, mits je logging, detectie en respons op orde zijn.
Hoe ziet de keten van gestolen wachtwoord tot ransomware eruit?
- Diefstal: een infostealer of phishingpagina buit inloggegevens en sessiecookies.
- Validatie: de broker test welke accounts werken en op welke systemen ze toegang geven.
- Verrijking: hij verhoogt rechten, brengt de omgeving in kaart en noteert omzet en sector als prijsindicatie.
- Verkoop: de toegang wordt geadverteerd en verkocht aan een ransomwaregroep of andere afnemer.
- Exploitatie: de koper steelt data, schakelt back-ups uit en versleutelt. Dan pas merk jij iets.
Wie deze keten kent, begrijpt waarom detectie in stap 2 en 3 goud waard is. In stap 5 rest alleen nog crisismanagement.
Welke maatregelen breken de keten wél?
- Phishingresistente MFA op alle externe toegang, bij voorkeur met passkeys of hardwaretokens in plaats van sms-codes.
- Monitoring op gelekte inloggegevens van je domeinen, zodat je een gestolen account intrekt voordat het verkocht wordt.
- Sessiebeheer: beperk de levensduur van tokens en forceer opnieuw inloggen bij afwijkend gedrag of een nieuw apparaat.
- Hardening en rechtenbeheer in Active Directory en cloudomgevingen: geen permanente beheerrechten, wel just-in-time toegang.
- Patchen van internetgerichte systemen met een strakke termijn voor kritieke kwetsbaarheden.
- Detectie en respons: alarmeer op onmogelijke reislocaties, nieuwe MFA-registraties en ongebruikelijke VPN-sessies.
- Doorlopende awareness in plaats van één training per jaar. Met het platform Guardey houden wij security awareness klein, speels en structureel, zodat gedrag echt verandert.
- Testen wat er in de praktijk gebeurt met een pentest op je webapplicaties, netwerk en Active Directory. Het Digital Trust Center biedt daarnaast praktische basismaatregelen voor ondernemers.
Wat betekent dit voor NIS2, ISO 27001 en je zorgplicht?
De Nederlandse Cyberbeveiligingswet, de implementatie van de Europese NIS2-richtlijn, is op 15 augustus 2026 in werking getreden en raakt ruim 8.000 organisaties met nieuwe verplichtingen rond risicobeheer, incidentmelding en bestuurlijke verantwoordelijkheid. Toegangsbeveiliging, multifactorauthenticatie en het beheersen van je leveranciersketen zijn daarin geen vrijblijvende adviezen. In ISO 27001 en NEN 7510 gelden vergelijkbare eisen rond toegangsbeveiliging, logging en monitoring.
Praktisch betekent dit: als een initial access broker jouw toegang verkoopt en een ransomwaregroep die gebruikt, moet je kunnen aantonen dat je passende maatregelen had getroffen én dat je het incident tijdig hebt gemeld. Wat er precies verandert, lees je in ons artikel over de Cyberbeveiligingswet en wat 15 augustus 2026 betekent voor jouw organisatie.
Waarom moet de directie dit zelf zien?
Cijfers overtuigen zelden een bestuur, eigen gegevens wel. In onze NIS2-directietraining gaat een ethisch hacker live het dark web op en laat zien welke gegevens van de eigen organisatie daar te vinden of te koop zijn: gelekte wachtwoorden, e-mailadressen uit infostealer-logs, soms complete toegangsadvertenties uit de sector. Wat een ethische hacker doorgaans aantreft bij Nederlandse organisaties, beschrijven wij in dit overzicht van gegevens op het dark web.
Die confrontatie zorgt in één sessie voor wat een jaar aan rapportages niet lukt: begrip, urgentie en budget. Vervolgens werken wij aan de structuur eronder, met vaste, voorspelbare maandkosten en volledige ontzorging, van implementatie tot audit.
Veelgestelde vragen over initial access brokers
Wat is het verschil tussen een initial access broker en een ransomwaregroep?
Een initial access broker breekt in en verkoopt de toegang door. Een ransomwaregroep koopt die toegang en gebruikt hem om data te stelen en systemen te versleutelen. Het zijn dus twee schakels in dezelfde criminele keten.
Hoe weet ik of mijn inloggegevens op het dark web staan?
Via structurele monitoring op gelekte inloggegevens van je eigen domeinen en een gerichte dark web-analyse door een ethisch hacker. Combineer dat met controle op ongebruikelijke inlogpogingen en nieuwe MFA-registraties in je logging.
Helpt multifactorauthenticatie tegen initial access brokers?
Ja, MFA blokkeert het overgrote deel van de aanvallen met gestolen wachtwoorden. Let wel op sessiediefstal en MFA-moeheid: phishingresistente methoden zoals passkeys of hardwaretokens zijn duidelijk sterker dan sms- of pushcodes.
Wat moet ik doen als toegang tot mijn organisatie al verkocht blijkt?
Trek alle actieve sessies en tokens in, reset de betrokken accounts, zoek naar nieuwe beheerdersaccounts en achterdeuren en start je incidentproces inclusief eventuele meldplicht. Laat daarna onafhankelijk vaststellen of de aanvaller echt weg is.
Zijn zorginstellingen een specifiek doelwit van access brokers?
Zorginstellingen zijn aantrekkelijk omdat uitval direct maatschappelijke impact heeft en medische gegevens waardevol zijn. Voor hen gelden bovendien NEN 7510 en vaak de Cyberbeveiligingswet, wat de eisen aan toegangsbeveiliging en monitoring aanscherpt.
