En angriber er enhver, der forsøger at kompromittere et system uden autorisation. Ordet dækker en bred vifte. Script kiddies bruger værktøjer, de ikke forstår. Organiserede kriminelle grupper driver ransomware-tilknyttede virksomheder med helpdeske og profitdeling. Nationalstatslige teams arbejder på løn, med måneders tålmodighed og brugerdefineret malware. Insidertrusler sidder inde i bygningen med gyldige legitimationsoplysninger. Hacktivister går efter organisationer, de er uenige med. Hver gruppe har forskellige færdigheder, ressourcer og mål.

Det økonomiske motiv dominerer. Ransomware-betalinger, stjålne loginoplysninger og kortdata har alle klare købere på undergrundsmarkeder. Mæglere til initial adgang sælger fodfæste til ransomware-hold. Udviklere af angreb sælger zero-day-løsninger til den højestbydende. Økosystemet er professionaliseret. Angribere specialiserer sig, bruger underleverandører og tager en andel. Den struktur gør det sværere at tilskrive dem. Den person, der brød ind, er måske ikke den person, der implementerede ransomwaren, og det er måske heller ikke den person, der tjener mest. Forsvarere bør antage en motiveret modstander med tid og ressourcer. Spørgsmålet er ikke, om nogen vil forsøge. Det er, om forsvaret holder, når det gør.

Angribermotivationer

• Økonomisk gevinst — ransomware, bedrageri, tyveri af legitimationsoplysninger
• Spionage — statsstøttet efterretningsindsamling
• Ideologi — hacktivisme og disruption
• Insiderklage — hævn eller tvang

Ikke alle angribere er genier. Mange er opportunister, der søger efter uopdaterede systemer. Opdatering lukker den dør, de regnede med.