Das Muster — sich zunächst Zugang verschaffen und die Erzählung erst später formen — prägt nach Einschätzung der Fachleute vieles von dem, was bislang beobachtet wurde.
Als Beispiel nannten Haugh und Mandia einen jüngeren Vorfall beim Medizintechnik-Unternehmen Stryker, dem bislang prominentesten Vergeltungsangriff, den Forscher identifiziert haben. Berichten zufolge legten Angreifer Tausende Geräte lahm. Doch trotz der vielen Schlagzeilen beruhte die Operation den beiden zufolge weder auf ausgefeilter Schadsoftware noch auf einer bislang unbekannten Schwachstelle — sondern setzte bei einem Menschen an.
„Sie haben jemanden mittels Social Engineering manipuliert und legitime Zugangsdaten genutzt, um im Grunde einen Effekt zu erzielen", sagte Haugh. Über den so erlangten Zugang hätten die Angreifer schlicht eine „legitime Fähigkeit" verwendet, um Dinge zu löschen, zu deren Löschung sie berechtigt gewesen seien. Der Fall sei vielfach als zerstörerischer Cyberangriff beschrieben worden, spiegele in der Praxis aber ein vertrauteres Problem wider: Angreifer richten mit gültigen Zugangsdaten von innen heraus Schaden an.
Genau dieses Muster — und nicht maßgeschneiderte Exploits — sollten Organisationen erwarten, sagte Mandia. „Sie haben gültige Zugangsdaten im Darknet gekauft." Als Sicherheitsverantwortlicher würde er deshalb einen Dienst suchen, der versucht, sich an jeder Anmeldeseite und über jede Schnittstelle einzuloggen, und überall Mehr-Faktor-Authentifizierung sicherstellen. „So werden sie einbrechen. Es ist leise und langsam", so Mandia. Das sei vergleichbar mit kriminellem Vorgehen.
Beide verwiesen zudem auf einen zeitlichen Aspekt, der solche Operationen ausgefeilter erscheinen lassen kann: Angreifer beanspruchen ein Ziel oft erst dann öffentlich für sich, wenn sie bereits erfolgreich eingedrungen sind — um den Eindruck von Geschwindigkeit und Präzision zu erzeugen. In einem Konfliktumfeld werde diese Wahrnehmung noch verstärkt. „Die Cyber-Domäne ist eine üble Gegend, und um ‚Spinal Tap’ zu zitieren: Sie drehen die Lautstärke jetzt einfach auf 11, weil ein Krieg läuft und alle Hemmungen fallen", sagte Mandia.
Auch die wahrscheinlichen Ziele spiegeln diese pragmatische Linie wider. Statt großangelegter, störender Angriffe auf kritische Infrastruktur dürfte sich Iran eher auf einzelne Organisationen mit Verbindungen zu Israel oder den USA konzentrieren — und jeden Einbruch mit einer Informationskampagne kombinieren. „Ich bezweifle, dass man maßgeschneiderte Angriffe auf Web-Anwendungen sehen wird", sagte Mandia. „Es wird ums Einloggen gehen. Es wird ein Problem der Identitätssicherheit sein."
Selbst bei nachlassenden Spannungen werde sich an dieser Grundlinie wenig ändern. „Meiner Meinung nach hacken Hacker, Ende der Geschichte", sagte Mandia. „Sie erscheinen jeden Tag. Sie machen das acht bis zehn Stunden lang." Für Verteidiger laufe es darauf hinaus, ob Organisationen die grundlegendsten Lücken geschlossen haben — jene, die Angreifer ohnehin seit jeher ausnutzen.