En angripare är alla som försöker kompromettera ett system utan auktorisering. Ordet täcker ett brett spektrum. Script kiddies använder verktyg de inte förstår. Organiserade kriminella grupper driver ransomware-avdelningar med helpdesk och vinstdelning. Nationella team arbetar på lön, med månader av tålamod och anpassad skadlig kod. Insiderhot sitter inne i byggnaden med giltiga inloggningsuppgifter. Hacktivister riktar in sig på organisationer de inte håller med om. Varje grupp har olika färdigheter, resurser och mål.

Det ekonomiska motivet dominerar. Betalningar med ransomware, stulna inloggningsuppgifter och kortdata har alla köpare på underjordiska marknader. Mäklare för initial åtkomst säljer fotfäste till ransomware-team. Exploitutvecklare säljer nolldagarsattacker till högstbjudande. Ekosystemet är professionaliserat. Angripare specialiserar sig, lägger ut sina pengar på underleverantörer och tar en del. Den strukturen gör det svårare att tillskriva dem. Personen som bröt sig in kanske inte är den person som distribuerade ransomware-viruset, och det är kanske inte heller den person som tjänar mest. Försvarare bör utgå från en motiverad motståndare med tid och resurser. Frågan är inte om någon kommer att försöka. Det är om försvaret håller när de gör det.

Angriparens motivationer

• Ekonomisk vinning — ransomware, bedrägeri, stöld av autentiseringsuppgifter
• Spionage — statligt sponsrad underrättelseinsamling
• Ideologi — hacktivism och disruption
• Insidermissnöje – hämnd eller tvång

Inte alla angripare är genier. Många är opportunister som söker efter ouppdaterade system. Uppdateringar stänger dörren de räknade med.