Nenápadné číslo, které by mělo spustit poplach
Sophos každý rok vydává zprávu State of Ransomware, založenou na průzkumu, který sám popisuje jako nezávislý a neutrální vůči dodavatelům, mezi vedoucími pracovníky IT a kybernetické bezpečnosti, jejichž organizace zasáhl ransomware. Vydání za rok 2025, zveřejněné v červnu 2025, pokrývá 3 400 respondentů v 17 zemích z organizací se 100 až 5 000 zaměstnanci. V prosinci 2025 Sophos zveřejnil samostatný výřez, The State of Ransomware in Enterprise 2025, který pokrývá 1 733 respondentů z podniků s 1 000 až 5 000 zaměstnanci. Sophos pojmenovává každou zprávu podle roku průzkumu (leden až březen 2025), takže mnoho útoků, které popisuje, proběhlo v roce 2024.
Hlavní zjištění jsou povzbudivá: míra šifrování dat klesá, obnova se zrychluje a méně obětí platí výkupné.
Podniková zpráva však obsahuje číslo, které by měl mít na tabuli každý CISO:
Mezi podniky, jejichž data byla zašifrována, klesl podíl těch, které je obnovily pomocí záloh, ze 73 % v roce 2024 na 53 % v roce 2025. Sophos to označuje za čtyřleté minimum.
Přečtěte si to znovu. V roce, kdy se obránci zlepšili v zastavování ransomwaru před zašifrováním, měly podniky, u nichž k zašifrování došlo, měřitelně menší šanci obnovit se z vlastních záloh.
Nejde o drobnou poznámku pod čarou. Myslíme si, že je to strategicky nejdůležitější zjištění v datech společnosti Sophos. Hlavní čísla vyprávějí jeden příběh; data o obnově vyprávějí jiný. Tento článek prochází tím, co podle nás data odhalují o odolnosti vůči ransomwaru, a proč se důvěra v zálohy stala metrikou, na které záleží nejvíc.
Povrchní narativ: obrana vítězí
Začněme dobrými zprávami, protože nějaké skutečně jsou.
Napříč všemi 3 400 respondenty v hlavní zprávě za rok 2025:
- Šifrování dat kleslo na 50 % útoků, ze 70 % v roce 2024, což je nejnižší míra za šest let studie.
- Průměrné náklady (aritmetický průměr) na obnovu bez jakéhokoli výkupného klesly z 2,73 mil. USD na 1,53 mil. USD.
- Medián zaplaceného výkupného klesl o 50 %, z 2 mil. USD v roce 2024 na 1 mil. USD v roce 2025.
- 53 % obětí se plně zotavilo do týdne, oproti 35 % v roce 2024.
- 49 % obětí se zašifrovanými daty zaplatilo výkupné, oproti 56 % v roce 2024.
U podniků podle podnikové zprávy:
- Šifrování dat kleslo na 49 % útoků, ze 66 % v roce 2024.
- Podíl útoků zastavených před zašifrováním se za dva roky více než zdvojnásobil, z 22 % v roce 2023 na 47 % v roce 2025.
Sophos čte pokles šifrování jako známku toho, že organizace „are more capable of stopping attacks before the encrypted payload is deployed“ (jsou schopnější zastavit útoky dříve, než je nasazen šifrovací payload), a rychlejší obnovu jako možnou známku investic do „cyber incident preparation and recovery readiness“ (přípravy na kybernetické incidenty a připravenosti na obnovu). Samy o sobě tato čísla říkají, že obor se dostal za bod obratu.
Pak se dostanete k datům o obnově.
Rozpor, který odhaluje vše
Tady je údaj, který optimistický narativ komplikuje.
Mezi podniky, jejichž data byla zašifrována, je 53 % obnovilo pomocí záloh, oproti 73 % o rok dříve. Ve stejném období 48 % zaplatilo výkupné, aby data získalo zpět, oproti 55 % (podniková zpráva). Zmenšily se obě cesty. Téměř třetina (30 %) podniků se zašifrovanými daty uvedla, že použila jiné prostředky, mezi které podle společnosti Sophos mohou patřit „restoration from shadow copies, utilizing endpoint protection rollback features or recovering data from unaffected systems“ (obnova ze stínových kopií, využití funkcí rollbacku v ochraně koncových bodů nebo obnova dat z nezasažených systémů).
V roce 2024 měly zálohy před zaplacením výkupného náskok 18 procentních bodů (73 % proti 55 %). V roce 2025 byl náskok 5 bodů (53 % proti 48 %). Méně podniků platí, což je dobrá zpráva. Vrstva obnovy, která měla placení učinit zbytečným, však nese menší část zátěže, nikoli větší.
Vlastní shrnutí společnosti Sophos je přímé: „Collectively, these findings point to stronger resistance to demands together with weaknesses and lack of backup resilience.“ (Souhrnně tato zjištění ukazují na silnější odpor vůči požadavkům spolu se slabinami a nedostatečnou odolností záloh.)
Slabiny a nedostatečná odolnost záloh: to je ta část, která nás zajímá. Obránci se zlepšují v brzkém zastavování útoků. Když však útok uspěje a data jsou zašifrována, zálohy, které by měly být záchrannou sítí, se používají méně často.
To není příběh o tom, že ransomware je těžší. Je to příběh o tom, že se odhalují slabiny architektury záloh.
Proč zálohy selhávají v rozhodující chvíli?
Zprávy společnosti Sophos neříkají, proč využití záloh kleslo. Průzkum zaznamenává, jak byla data obnovena, nikoli proč zálohy byly nebo nebyly použity. Tři níže uvedené vzorce jsou naší interpretací, podloženou daty společnosti Sophos tam, kde existují.
Vzorec 1: Zálohy jsou kompromitovány spolu s produkcí
Útočníci jdou po zálohách záměrně. Ve studii společnosti Sophos o kompromitovaných zálohách z roku 2024 uvedlo 94 % organizací zasažených ransomwarem, že se útočníci pokusili kompromitovat jejich zálohy, a 57 % těchto pokusů uspělo. Organizace, jejichž zálohy byly kompromitovány, zaplatily výkupné téměř dvakrát častěji (67 % proti 36 %) a jejich medián nákladů na obnovu byl osmkrát vyšší (3 mil. USD proti 375 000 USD).
Krádež dat tlak dále zvyšuje. V podnikové zprávě mělo 30 % podniků se zašifrovanými daty zároveň ukradená data (15 % všech podnikových obětí). Čistá obnova nic nezmění na datech, která už opustila budovu.
Pokud váš zálohovací systém sdílí s produkčním prostředím doménu, poskytovatele identit nebo sadu přihlašovacích údajů, není samostatnou vrstvou obnovy. Je dalším cílem v tomtéž kill chainu.
Vzorec 2: „Úspěšná záloha“ neznamená „úspěšná obnova“
Podniková data obsahují přímý signál. Ze 72 podniků, které zaplatily víc, než činil počáteční požadavek na výkupné, uvedlo 42 % tento důvod: „Our backups failed or were malfunctioning“ (Naše zálohy selhaly nebo nefungovaly správně) (podniková zpráva). Skupina je malá, ale jde o podnikové oběti, které otevřeně říkají, že jejich zálohy neobstály.
Lidské náklady jsou také zřejmé. Každý podnik, jehož data byla zašifrována, hlásil dopady na svůj tým IT/kybernetické bezpečnosti: 40 % hlásilo zvýšený tlak ze strany vrcholového vedení, 39 % zvýšenou úzkost nebo stres z budoucích útoků a ve 27 % případů bylo vyměněno vedení týmu.
Log úlohy, který hlásí „success“, vám říká, že záloha proběhla. Neříká vám, že obnova bude fungovat takovou rychlostí a v takové úplnosti, jakou firma potřebuje.
Právě na tento způsob selhání cílí „0“ v pravidle 3-2-1-1-0. Příručka osvědčených bezpečnostních postupů společnosti Veeam ji definuje jako „0 errors“ (0 chyb) při automatickém ověřování obnovitelnosti každé zálohy pomocí SureBackup. Dokončená úloha není ověřená obnova a ověření se počítá jen tehdy, když testuje scénáře obnovy, kterým byste čelili při skutečném incidentu.
Vzorec 3: Organizační vrstva je nejslabším článkem
Sophos se v roce 2025 poprvé ptal obětí na organizační faktory, které je vystavily riziku. Napříč všemi 3 400 respondenty v hlavní zprávě:
- 40,2 % uvedlo nedostatek odborných znalostí: chyběly jim dovednosti nebo znalosti, aby útok včas odhalili a zastavili.
- 40,1 % uvedlo neznámé bezpečnostní mezery: slabiny v obraně, o kterých nevěděli.
- 39,4 % uvedlo nedostatek lidí nebo kapacity.
- Respondenti v průměru uvedli 2,7 přispívajícího faktoru.
Podnikový výřez je téměř totožný: seznam vedou neznámá bezpečnostní mezera (40 %), nedostatek lidí nebo kapacity (39,2 %) a nedostatek odborných znalostí (38,9 %), přičemž v průměru byly uvedeny tři faktory.
Řečeno jasně: bezpečnostním týmům chybějí lidé a dovednosti a mají slepá místa, která nevidí. Tvrdili bychom, že zálohovací infrastruktura leží přesně tam, kde se všechny tři slabiny setkávají. Když ji spravují titíž lidé, kteří mají na starosti i reakci na incidenty, záplatování a identity, dostane se jí architektonické pozornosti jen zřídka, dokud incident nevyžaduje, aby svou úlohu splnila.
Co přidávají odvětvové zprávy
Sophos zveřejnil také odvětvové výřezy průzkumu za rok 2025.
Ve výrobě a průmyslové produkci (332 respondentů) klesla míra šifrování na 40 %, nejnižší hodnotu za pět let, a medián zaplaceného výkupného činil 1 mil. USD, oproti 1,2 mil. USD. 47 % hlásilo v týmu IT/kybernetické bezpečnosti zvýšenou úzkost nebo stres z budoucích útoků. Využití záloh zůstalo stabilní na 58 %.
V maloobchodě (361 respondentů v 16 zemích) klesla míra šifrování na 48 %, rovněž nejnižší hodnotu za pět let. Nejčastějším provozním faktorem byla neznámá bezpečnostní mezera, kterou uvedlo 46 % obětí. 58 % maloobchodníků se zašifrovanými daty zaplatilo výkupné, což Sophos označuje jako „the second highest ransom payment rate in five years“ (druhou nejvyšší míru placení výkupného za pět let). Medián požadovaného výkupného se zdvojnásobil z 1 mil. USD na 2 mil. USD a využití záloh kleslo na 62 %, nejnižší hodnotu za čtyři roky.
Obraz odvětví je smíšený: v maloobchodě využití záloh kleslo, ve výrobě se udrželo. S podnikovými daty mají odvětvové zprávy společné to, že prevence se zlepšuje rychleji než obnova ze záloh. V obou odvětvích míra šifrování klesla, zatímco využití záloh kleslo nebo stagnovalo. Tato mezera mezi vyspělostí prevence a vyspělostí obnovy je podle nás místem, kde se platí výkupné.
Co zpráva Sophos doporučuje (a kam bychom přidali váhu)
Hlavní i podniková zpráva končí stejnými čtyřmi doporučeními:
- Prevence: odstranit technické a provozní kořenové příčiny, které zpráva identifikuje.
- Ochrana: silné základy bezpečnosti s dobře bráněnými koncovými body (včetně serverů), včetně vyhrazené ochrany proti ransomwaru, která dokáže zastavit škodlivé šifrování a vrátit jeho účinky zpět.
- Detekce a reakce: nepřetržitá detekce hrozeb a reakce na ně, prostřednictvím poskytovatele MDR (managed detection and response), pokud nemáte vlastní zdroje nebo dovednosti.
- Plánování a příprava: plán reakce na incidenty, jehož nasazení máte dobře zvládnuté, a k tomu kvalitní zálohy a pravidelný nácvik obnovy dat z nich.
Vše správně. Zálohy tam jsou, v jedné větě v rámci plánování a přípravy. Vzhledem k číslům o podnikových zálohách bychom obnově přikládali větší váhu:
Samotná architektura obnovy musí být modernizována, nejen bráněna.
Zálohovací prostředí navržené pro obnovu po selhání hardwaru a náhodném smazání není totéž co prostředí navržené pro obnovu po útoku protivníka, který už je uvnitř sítě a jde nejdřív po zálohách. To první je problém redundance. To druhé je problém architektury. Nácvik obnovy je nezbytný, ale nepomůže, pokud se útočník dostane k zálohám, se kterými jste nacvičovali.
Mezera v důvěře v zálohy: co místo toho měřit
Pokud si z dat Sophos za rok 2025 odnesete jedinou provozní změnu, ať je to tato: přestaňte považovat úspěšnost záloh za metriku obnovy a začněte měřit důvěru v zálohy.
Úspěšnost záloh je metrika, kterou vám zálohovací software dává zadarmo. Odpovídá na jedinou otázku: dokončila se úloha? Sama o sobě není ukazatelem obnovy. Myslíme si, že mezera mezi tím, co ukazuje dashboard, a tím, co přinese incident, je součástí toho, co odráží 20bodový pokles obnovy ze záloh.
Důvěra v zálohy klade jiné otázky:
- Dokážeme dnes, v podmínkách aktivního útoku, obnovit systémy první úrovně z neměnného úložiště v rámci stanoveného RTO?
- Fungují naše postupy obnovy, když jsou kompromitováni produkční poskytovatelé identit?
- Ověřili jsme, že naše retenční politiky nemohou být upraveny žádnými přihlašovacími údaji z produkční vrstvy?
- Monitorujeme telemetrii zálohovacího systému kvůli chování protivníka, nejen kvůli dokončení úloh?
- Když se tým pro reakci na incidenty zeptá „máme zaplatit?“, jaký je technický základ odpovědi?
Tyto otázky mají odpovědi. Mnoho podniků ty své zatím nezná.
Co si bereme z dat Sophos za rok 2025
Když zprávy přečteme celé, vidíme tento příběh.
Organizace se výrazně zlepšily v zastavování ransomwaru dříve, než zašifruje data. Je to skutečné zlepšení a zaslouží si uznání.
Vrstva obnovy, tedy příslib, že organizace nikdy nebudou muset platit, protože se dokážou obnovit z čistých záloh, však nese menší část zátěže. V podnikových datech je 20bodový pokles obnovy ze záloh kouřem. Architektonickou mezeru pod ním považujeme za oheň.
Pro podniky v regulovaných odvětvích, pro ty, kdo provozují složitá hybridní prostředí, nebo prostě pro ty, kdo nejsou ochotni financovat další ransomwarovou kampaň, je to rozhovor, který je třeba vést teď. Otázka nezní „máme zálohy?“ Zní takto: přežije naše architektura záloh skutečného protivníka a dokážeme to prokázat dřív, než to budeme potřebovat?
Jak BackupSec přistupuje k mezeře v důvěře
V BackupSec vycházíme z premisy, že zálohovací prostředí musí být pozorovatelná a otestovaná v podmínkách útoku, nikoli jen provozuschopná za normálních podmínek. Tři z našich služeb odpovídají výše popsaným selháním:
- ZeroMON monitoruje Veeam Backup & Replication: stav úloh, drift konfigurace se záznamem Forensic & Audit o tom, kdo co změnil a kdy, checklist Security Analyzer, reporty a honeypot na monitorovací appliance. Zobrazuje stav neměnnosti tak, jak ho uvádí vlastní nastavení repozitářů ve Veeamu; čte konfiguraci Veeamu a neověřuje zámky na úrovni objektů v úložišti. Upozornění chodí e-mailem a jako notifikace v aplikaci. ZeroMON se nasazuje on-premises jako OVA a připojuje se pomocí účtu jen pro čtení; nic z toho, co shromáždí, se neodesílá společnosti BackupSec ani žádné třetí straně.
- ZeroTAM poskytuje vašemu týmu vyhrazeného poradce pro bezpečnost záloh pro revize architektury, plánování obnovy po ransomwaru, plánování kapacity a prioritní podporu v krizi. Jde o poradenskou službu, nikoli software, a přímo odpovídá na výše uvedená zjištění o nedostatku odborných znalostí a kapacity.
- ZeroPEN je penetrační test řízený hrozbami (threat-led) pro Veeam Backup & Replication, Veeam ONE a Enterprise Manager. Simuluje ransomwarový kill chain namapovaný na MITRE ATT&CK v osmi fázích: počáteční přístup, průzkum a inventarizace, zneužití přihlašovacích údajů, kompromitace serveru Veeam, přístup k repozitářům, neutralizace záloh, simulace exfiltrace a prokázání schopnosti šifrovat. Je nedestruktivní: ZeroPEN „never deletes real backups, performs real encryption, or stops production or backup services“ (nikdy nemaže skutečné zálohy, neprovádí skutečné šifrování ani nezastavuje produkční nebo zálohovací služby). Součástí zakázky je také ověření integrity obnovy a neměnnosti; zakázka končí balíčkem reportů připraveným pro audit a opakovaným testem u kritických nálezů.
Vaši zálohovací platformu nenahrazujeme. Pomáháme vám vidět a otestovat tu, kterou už provozujete.
Oněch 53 % v podnikových datech společnosti Sophos není osud. Podle nás odráží architektury záloh postavené pro jinou hrozbu.
Promluvte si s BackupSec o bezpečnosti vašich záloh →
Tato analýza vychází ze zprávy společnosti Sophos State of Ransomware 2025, její zprávy State of Ransomware in Enterprise 2025 a jejích odvětvových zpráv za rok 2025. Interpretace je vlastní BackupSec. Sophos mezitím zveřejnil The State of Ransomware 2026; tento článek se zabývá daty za rok 2025. Chcete-li probrat, jak se tato zjištění vztahují na vaše prostředí, kontaktujte náš tým →