Credo che essere anonimi su internet sia un concetto volatile e soggettivo, come quello della stessa "sicurezza" informatica...
Mi spiego meglio: il concetto di sicurezza è diverso se a trattarlo è un privato, o un'azienda, ed è anche diverso in base alle esigenze del privato e dell'azienda, ovviamente maggiori riservati saranno i dati, maggiore è la "sicurezza". Ma, come con il concetto di "volatile" a cui mi riferivo prima, intendo che in ogni caso non si può definire "sicurezza" in quanto ci sarà sempre un modo (più o meno macchinoso, ed in cui hai bisogno di più "materiale" e/o conoscenze) per bypassare quello che è stato definito un "sistema sicuro".
Parallelamente, a mio pensiero, è il concetto di anonimato su internet.
Non provo a spiegarti il perchè è così difficile essere anonimi perchè, se hai postato la domanda, immagino tu abbia già qualche idea, ma quello che ti voglio dire è che si può dire impossibile essere al 100% anonimi.
Poi dipende dall'entità di ciò che vuoi fare, quindi l'organo che vai ad attaccare (se si trova nello stesso paese in cui si trova il tuo provider VPN, ad esempio, hai più probabilità che se l'attacco è stato rilevante, le autorità chiederanno all'azienda delle informazioni per risalire a te, e sappiamo bene che se è stato qualcosa per cui ne varrebbe la pena, infrangerebbero anche qualche stupida "promessa" ti aveva proposto l'azienda).
Per questo i servizi "VPN" vengono, solitamente, acquistati quando il provider si trova in paesi lontani o comunque non in buoni rapporti con l'Italia.
Quindi dipende da che tipologia di "pentest" (ammesso che sia solo quello, e non qualche stupido tentativo di "lameraggio") vuoi effettuare, ed agire di conseguenza.
Ad esempio, ti potrebbe tornare utile la tecnica dell'IP SPOOFING.
Concludendo penso che la variabile dell'anonimato sia da considerare in base al progetto del pentest che vuoi effettuare. Quindi questo aspetto è da valutare insieme alle tecniche di attacco da usare.
Spero di essere stato sufficientemente chiaro ed esaustivo nella risposta.