Een aanvaller is iedereen die probeert een systeem zonder toestemming te compromitteren. De term omvat een breed scala aan activiteiten. Scriptkiddies gebruiken tools die ze niet begrijpen. Georganiseerde misdaadgroepen runnen ransomware-afdelingen met helpdesks en winstdeling. Teams van staten werken op basis van een vast salaris, met maandenlang geduld en op maat gemaakte malware. Interne bedreigingen bevinden zich binnen het gebouw met geldige inloggegevens. Hacktivisten richten zich op organisaties waarmee ze het oneens zijn. Elke groep beschikt over andere vaardigheden, middelen en doelen.

Het financiële motief is doorslaggevend. Losgeld voor ransomware, gestolen inloggegevens en creditcarddata vinden gretige kopers op illegale marktplaatsen. Inbraakhandelaren verkopen toegangspunten aan ransomwarebendes. Exploitontwikkelaars verkopen zero-day-aanvallen aan de hoogste bieder. Het ecosysteem is geprofessionaliseerd. Aanvallers specialiseren zich, besteden werk uit en strijken een deel van de winst op. Deze structuur maakt het lastiger om iemand te traceren. De persoon die is binnengedrongen, is mogelijk niet dezelfde persoon die de ransomware heeft ingezet, en evenmin degene die er het meest van profiteert. Verdedigers moeten uitgaan van een gemotiveerde tegenstander met tijd en middelen. De vraag is niet of iemand het zal proberen, maar of de verdediging standhoudt wanneer dat gebeurt.

Motivaties van de aanvaller

• Financieel gewin — ransomware, fraude, diefstal van inloggegevens
• Spionage — door de staat gesponsorde inlichtingenvergaring
• Ideologie — hacktivisme en disruptie
• Interne wrok — wraak of dwang?

Niet elke aanvaller is een genie. Velen zijn opportunisten die op zoek zijn naar systemen zonder patches. Door patches toe te passen, sluiten ze de deur waar ze op hadden gerekend.