Il brokeraggio degli accessi è il commercio criminale che trasforma punti d'appoggio non autorizzati in una merce. Un aggressore compromette prima un sistema, poi “qualifica” l'accesso verificando che tipo di host sia, quali privilegi abbia e se sia abbastanza prezioso da vendere. Il risultato può essere una sessione di accesso, accesso remoto oppure un punto d'appoggio persistente offerto ad altri criminali.
Questo è importante perché separa l'intrusione dall'abuso finale. Il primo intruso non è sempre quello che ruba i dati, distribuisce ransomware o commette frodi; potrebbe semplicemente preparare l'inventario per un mercato. Negli attacchi reali, i broker degli accessi cercano segnali di valore aziendale, come l'appartenenza a un dominio, account privilegiati, flussi di pagamento o reti aziendali. I difensori possono ridurre questo rischio con autenticazione forte, privilegio minimo, rilevamento rapido di accessi remoti anomali e contenimento rapido degli host compromessi prima che il punto d'appoggio possa essere rivenduto.