Penyerang adalah siapa pun yang mencoba membahayakan sistem tanpa izin. Istilah ini mencakup berbagai macam hal. Para peretas amatir menjalankan alat yang tidak mereka pahami. Kelompok kejahatan terorganisir mengoperasikan afiliasi ransomware dengan layanan bantuan dan pembagian keuntungan. Tim negara bekerja dengan gaji tetap, dengan kesabaran berbulan-bulan dan perangkat lunak berbahaya yang dibuat khusus. Ancaman dari dalam gedung dilakukan oleh orang-orang yang berada di dalam gedung dengan kredensial yang valid. Aktivis peretas menargetkan organisasi yang tidak mereka setujui. Setiap kelompok memiliki keterampilan, sumber daya, dan tujuan yang berbeda.

Motif finansial mendominasi. Pembayaran ransomware, kredensial yang dicuri, dan data kartu semuanya memiliki pembeli yang siap di pasar gelap. Broker akses awal menjual pijakan kepada kelompok ransomware. Pengembang eksploitasi menjual celah keamanan zero-day kepada penawar tertinggi. Ekosistemnya telah diprofesionalisasi. Penyerang berspesialisasi, melakukan subkontrak, dan mengambil bagian keuntungan. Struktur tersebut membuat atribusi menjadi lebih sulit. Orang yang membobol sistem mungkin bukan orang yang menyebarkan ransomware, dan mungkin juga bukan orang yang paling diuntungkan. Para pembela harus berasumsi bahwa musuh yang ada memiliki motivasi tinggi, waktu, dan sumber daya yang cukup. Pertanyaannya bukan apakah seseorang akan mencoba, tetapi apakah pertahanan akan mampu bertahan ketika hal itu terjadi.

Motivasi penyerang

• Keuntungan finansial — ransomware, penipuan, pencurian kredensial
• Spionase — pengumpulan intelijen yang disponsori negara
• Ideologi — aktivisme peretasan dan disrupsi
• Keluhan internal — balas dendam atau paksaan

Tidak setiap penyerang adalah seorang jenius. Banyak di antaranya adalah oportunis yang memindai sistem yang belum diperbarui. Pembaruan sistem menutup celah yang mereka andalkan.