Kẻ tấn công là bất kỳ ai cố gắng xâm nhập vào một hệ thống mà không được phép. Thuật ngữ này bao hàm một phạm vi rộng. Những kẻ tấn công nghiệp dư sử dụng các công cụ mà chúng không hiểu rõ. Các nhóm tội phạm có tổ chức điều hành các chi nhánh tấn công bằng mã độc tống tiền với các bộ phận hỗ trợ và chia sẻ lợi nhuận. Các nhóm tin tặc nhà nước làm việc theo lương, với sự kiên nhẫn kéo dài hàng tháng trời và phần mềm độc hại được thiết kế riêng. Các mối đe dọa nội bộ ngồi trong tòa nhà với thông tin đăng nhập hợp lệ. Các nhà hoạt động tin tặc nhắm mục tiêu vào các tổ chức mà họ không đồng ý. Mỗi nhóm có các kỹ năng, nguồn lực và mục tiêu khác nhau.

Động cơ tài chính chiếm ưu thế. Tiền chuộc phần mềm tống tiền, thông tin đăng nhập bị đánh cắp và dữ liệu thẻ tín dụng đều có người mua sẵn trên các thị trường ngầm. Các nhà môi giới quyền truy cập ban đầu bán chỗ đứng cho các nhóm tội phạm tống tiền. Các nhà phát triển khai thác lỗ hổng bán các lỗ hổng bảo mật chưa được vá cho người trả giá cao nhất. Hệ sinh thái này được chuyên nghiệp hóa. Kẻ tấn công chuyên môn hóa, thuê ngoài và chia lợi nhuận. Cấu trúc đó khiến việc xác định thủ phạm trở nên khó khăn hơn. Người đột nhập có thể không phải là người triển khai phần mềm tống tiền, và cũng không phải là người thu lợi nhiều nhất. Người phòng thủ nên giả định rằng kẻ thù có động cơ, có thời gian và nguồn lực. Câu hỏi không phải là liệu ai đó sẽ cố gắng hay không, mà là liệu hệ thống phòng thủ có thể trụ vững khi điều đó xảy ra hay không.

Động cơ của kẻ tấn công

• Lợi ích tài chính — mã độc tống tiền, gian lận, đánh cắp thông tin đăng nhập
• Hoạt động gián điệp — thu thập thông tin tình báo do nhà nước tài trợ
• Hệ tư tưởng — hoạt động hacktivism và sự phá vỡ trật tự công cộng
• Bất bình nội bộ — trả thù hoặc ép buộc

Không phải kẻ tấn công nào cũng là thiên tài. Nhiều kẻ chỉ là những kẻ cơ hội, tìm kiếm các hệ thống chưa được vá lỗi. Việc vá lỗi sẽ đóng cánh cửa mà chúng đang trông chờ.