Un attaquant est toute personne tentant de compromettre un système sans autorisation. Ce terme recouvre une grande diversité. Les script kiddies utilisent des outils qu'ils ne maîtrisent pas. Les groupes criminels organisés gèrent des réseaux de ransomware avec assistance technique et partage des profits. Des équipes étatiques travaillent pour des entreprises salariées, exigeant des mois de patience et utilisant des logiciels malveillants personnalisés. Des menaces internes, dotées d'identifiants valides, sont infiltrées dans les locaux de l'entreprise. Les hacktivistes ciblent les organisations avec lesquelles ils sont en désaccord. Chaque groupe possède des compétences, des ressources et des objectifs différents.

Le mobile financier est prédominant. Les rançons, les identifiants volés et les données de cartes bancaires trouvent facilement preneur sur les marchés clandestins. Les intermédiaires d'accès initial vendent des points d'entrée aux équipes de ransomware. Les développeurs d'exploits vendent des failles zero-day au plus offrant. L'écosystème est professionnalisé. Les attaquants se spécialisent, sous-traitent et prélèvent une commission. Cette structure complique l'attribution des attaques. La personne ayant pénétré le système n'est pas forcément celle qui a déployé le ransomware, ni celle qui en tire le plus grand profit. Les équipes de défense doivent partir du principe qu'un adversaire motivé dispose de temps et de ressources. La question n'est pas de savoir si quelqu'un tentera le coup, mais si les défenses tiendront le coup.

Motivations de l'attaquant

• Gain financier — rançongiciel, fraude, vol d'identifiants
• Espionnage — collecte de renseignements commanditée par un État
• Idéologie — hacktivisme et disruption
• grief interne — vengeance ou coercition

Tous les attaquants ne sont pas des génies. Nombre d'entre eux sont des opportunistes qui repèrent les systèmes non patchés. L'application des correctifs leur ferme la porte sur laquelle ils comptaient.