Atakujący to każdy, kto próbuje włamać się do systemu bez autoryzacji. To słowo ma szeroki zakres. Script kiddies używają narzędzi, których nie rozumieją. Zorganizowane grupy przestępcze prowadzą firmy powiązane z ransomware, oferujące pomoc techniczną i podział zysków. Zespoły państwowe pracują za pensje, z miesiącami cierpliwości i niestandardowym złośliwym oprogramowaniem. Zagrożenia wewnętrzne ukrywają się w budynku z ważnymi uprawnieniami. Hakerzy atakują organizacje, z którymi się nie zgadzają. Każda grupa ma inne umiejętności, zasoby i cele.

Dominuje motyw finansowy. Płatności ransomware, skradzione dane uwierzytelniające i dane kart – wszystkie te płatności mają gotowych nabywców na podziemnych rynkach. Brokerzy pierwszego dostępu sprzedają przyczółki ekipom ransomware. Twórcy exploitów sprzedają luki zero-day tym, którzy oferują najwięcej. Ekosystem jest profesjonalny. Atakujący specjalizują się, zlecają prace podwykonawcom i zgarniają część zysków. Taka struktura utrudnia identyfikację sprawcy. Osoba, która włamała się do systemu, może nie być osobą, która wdrożyła ransomware, ani osobą, która czerpie z tego największe korzyści. Obrońcy powinni zakładać, że przeciwnik jest zmotywowany, ma czas i zasoby. Pytanie nie brzmi, czy ktoś spróbuje. Pytanie brzmi, czy obrona wytrzyma, gdy to zrobi.

Motywacje atakujących

• Zysk finansowy — ransomware, oszustwo, kradzież danych uwierzytelniających
• Szpiegostwo — zbieranie informacji wywiadowczych sponsorowane przez państwo
• Ideologia — haktywizm i dezorganizacja
• Żal wewnętrzny — zemsta lub przymus

Nie każdy atakujący jest geniuszem. Wielu to oportuniści, którzy skanują niezałatane systemy. Łatanie zamyka im drzwi, na które liczyli.