Um atacante é qualquer pessoa que tente comprometer um sistema sem autorização. O termo abrange uma vasta gama de situações. Os principiantes em scripts executam ferramentas que não compreendem. Os grupos de crime organizado operam afiliados de ransomware com serviços de apoio e divisão de lucros. As equipas patrocinadas por Estados-nação trabalham com salários fixos, meses de paciência e malware personalizado. As ameaças internas estão dentro da empresa com credenciais válidas. Os hackers atacam organizações com as quais discordam. Cada grupo tem competências, recursos e objetivos diferentes.

O motivo financeiro é predominante. Pagamentos de ransomware, credenciais roubadas e dados de cartões têm compradores prontos em mercados clandestinos. Os intermediários de acesso inicial vendem pontos de entrada para grupos de ransomware. Os programadores de exploits vendem vulnerabilidades zero-day ao maior lance. O ecossistema é profissionalizado. Os avançados especializam-se, externalizam serviços e ficam com uma parte. Esta estrutura dificulta a atribuição de responsabilidade. A pessoa que invadiu o sistema pode não ser a mesma que implementou o ransomware, e tão pouco a que mais lucra. Os defensores devem assumir que o adversário está motivado, com tempo e recursos. A questão não é se alguém tentará, mas sim se as defesas resistirão quando isso acontecer.

Motivações do avançado

• Ganho financeiro — ransomware, fraude, roubo de credenciais
• Espionagem — recolha de informações patrocinada pelo Estado
• Ideologia — hacktivismo e disrupção
• Queixa interna — vingança ou coação

Nem todo o avançado é um génio. Muitos são oportunistas que procuram sistemas sem as atualizações de segurança. A aplicação destas atualizações fecha a brecha que esperavam.