Un atacante es cualquiera que intente comprometer un sistema sin autorización. El término abarca un amplio espectro. Los piratas informáticos novatos utilizan herramientas que no comprenden. Los grupos del crimen organizado operan filiales de ransomware con servicios de asistencia técnica y reparto de beneficios. Equipos patrocinados por estados trabajan a sueldo, con meses de paciencia y malware personalizado. Las amenazas internas se encuentran dentro de la organización con credenciales válidas. Los hacktivistas atacan a organizaciones con las que discrepan. Cada grupo posee diferentes habilidades, recursos y objetivos.

El motivo económico es primordial. Los pagos de rescate, las credenciales robadas y los datos de tarjetas tienen compradores en los mercados clandestinos. Los intermediarios de acceso inicial venden puntos de entrada a los grupos de ransomware. Los desarrolladores de exploits venden vulnerabilidades de día cero al mejor postor. El ecosistema está profesionalizado. Los atacantes se especializan, subcontratan y obtienen una comisión. Esta estructura dificulta la atribución. Quien irrumpió en el sistema puede no ser quien implementó el ransomware, ni tampoco quien obtiene mayores beneficios. Los defensores deben asumir que se trata de un adversario motivado, con tiempo y recursos. La cuestión no es si alguien lo intentará, sino si las defensas resistirán cuando lo hagan.

Motivaciones del atacante

• Beneficio económico: ransomware, fraude, robo de credenciales.
• Espionaje: recopilación de inteligencia patrocinada por el Estado
• Ideología: hacktivismo y disrupción
• Quejas internas: ¿venganza o coacción?

No todos los atacantes son genios. Muchos son oportunistas que buscan sistemas sin parchear. La aplicación de parches cierra la puerta con la que contaban.