Une attaque désigne toute tentative d'intrusion, de perturbation ou d'endommagement d'un système. Les motivations sont diverses, l'appât du gain étant le principal moteur. Les rançongiciels, le piratage de messageries professionnelles et l'écrémage de cartes bancaires permettent tous de monétiser un accès non autorisé. L'espionnage, l'activisme et la simple curiosité constituent les autres motivations. La technique importe moins que le résultat. Tout accès non autorisé obtenu constitue une attaque.

Les attaques se déroulent en plusieurs phases. La reconnaissance permet de recueillir des informations sur la cible. L'armement consiste à concevoir l'outil. La diffusion consiste à l'envoyer, souvent par courriel d'hameçonnage ou via un site web compromis. L'exploitation déclenche la vulnérabilité. L'installation établit un accès persistant. Le système de commande et de contrôle ouvre un canal de communication avec l'attaquant. Les actions sur les objectifs permettent d'atteindre l'objectif, qu'il s'agisse d'exfiltration de données, de chiffrement ou de sabotage. Les défenseurs qui comprennent la chaîne peuvent la briser à n'importe quel maillon. Bloquer le courriel d'hameçonnage stoppe l'attaque avant l'exploitation. La surveillance du trafic sortant permet de détecter les signaux de commande et de contrôle après l'installation. Aucun contrôle unique ne permet de tout arrêter. Une défense multicouche permet de gagner du temps.

Catégories d'attaques courantes

• Réseau — exploitation des services et protocoles exposés
• Ingénierie sociale — manipuler les gens pour qu'ils aident
• Chaîne d'approvisionnement — compromission de logiciels ou de fournisseurs de confiance
• Accès abusif — abus d'accès légitime par un employé ou un sous-traitant

La plupart des attaques réussies ne sont pas techniquement brillantes. Elles exploitent des systèmes non mis à jour, des mots de passe réutilisés et le manque de réactivité des utilisateurs.