Problém 2,7: proč oběti ransomwaru obvykle čelí více než jedné slabině

Nejpodceňovanější číslo ve zprávě Sophos za rok 2025

Když Sophos v červnu 2025 zveřejnil zprávu State of Ransomware 2025, hlavní zjištění byla povzbudivá. Data byla zašifrována v 50 % útoků, oproti 70 % v roce 2024. 53 % obětí se plně zotavilo do týdne, oproti 35 %. Medián zaplaceného výkupného se snížil na polovinu, z 2 mil. USD na 1 mil. USD. Tato čísla jsou skutečná a mají význam. Zpráva však poprvé zkoumala i něco dalšího: organizační faktory, které firmy vystavily riziku. Jeden údaj z této části podle nás mění pohled, jakým by lídři v oblasti podnikových rizik měli o ransomwaru uvažovat.

Průzkum zahrnul 3 400 vedoucích pracovníků IT a kybernetické bezpečnosti v 17 zemích, všechny z organizací se 100 až 5 000 zaměstnanci, které byly v předchozích 12 měsících zasaženy ransomwarem. Na otázku, proč se jejich organizace stala obětí, respondenti uváděli v průměru 2,7 přispívajícího faktoru.

Ne jeden. Ani ne dva. Oběti v průměru uvedly téměř tři provozní podmínky, které stály za jediným útokem.

Nejde o poznámku pod čarou. Je to silný doklad toho, že obrana proti ransomwaru postavená na jediné kontrole neodpovídá tomu, jak oběti popisují své vlastní incidenty, a že architektura záloh se nenápadně stala jednou z nejdůležitějších kompenzačních kontrol v podnikovém stacku.

V BackupSec se domníváme, že číslo 2,7 je strategicky nejužitečnějším číslem celé zprávy. Tento článek rozebírá, co měří, proč kvůli němu lze strategie založené jen na prevenci jen těžko obhájit a co z něj plyne pro organizace, které zálohy stále berou jako dodatek ke „skutečné“ bezpečnosti.

Co číslo 2,7 skutečně představuje

Otázka, kterou Sophos položil, zněla „Why do you think your organization fell victim to the ransomware attack?“ (Proč si myslíte, že se vaše organizace stala obětí ransomwarového útoku?) Respondenti mohli vybrat více než jeden ze sedmi provozních důvodů a v průměru jich vybrali 2,7. Úplný seznam s podílem z 3 400 respondentů, kteří daný důvod uvedli:

• Nedostatek odborných znalostí: 40,2 %. Chyběly dovednosti nebo znalosti, aby útok včas odhalili a zastavili.
• Neznámá bezpečnostní mezera: 40,1 %. Slabina v obraně, o které organizace nevěděla.
• Nedostatek lidí/kapacity: 39,4 %. V době útoku systémy nemonitoroval dostatek odborníků na kybernetickou bezpečnost.
• Nedostatečná ochrana: 39,0 %. Chyběly potřebné produkty a služby kybernetické bezpečnosti.
• Známá bezpečnostní mezera, která nebyla řešena: 38,2 %.
• Nekvalitní ochrana, která útok nedokázala zastavit: 37,1 %.
• Lidská chyba: 34,2 %.

Ze způsobu, jakým byla otázka položena, vyplývají dvě věci. Číslo 2,7 je průměr, takže někteří respondenti uvedli jeden faktor a jiní několik. A zaznamenává to, o čem jsou respondenti přesvědčeni, že přispělo, nikoli výstup forenzního vyšetřování. Faktory se také překrývají. Sophos je seskupuje do problémů s ochranou (63 % respondentů), problémů se zdroji (63 %) a bezpečnostních mezer (65 %) a konstatuje, že neexistuje „no single stand-out source.“ (žádný jednotlivý výrazně převažující zdroj).

Na technický vstupní bod se Sophos ptal zvlášť. Zneužité zranitelnosti byly kořenovou příčinou ve 32 % útoků, kompromitované přihlašovací údaje ve 23 %, škodlivý e-mail v 19 % a phishing v 18 %. Tyto podíly popisují, jak se útočník dostal dovnitř. Číslo 2,7 popisuje podmínky kolem toho.

Vlastní shrnutí společnosti Sophos zní, že „victims are typically facing multiple operational challenges.“ (oběti obvykle čelí více provozním problémům). My to čteme jako strukturální problém, nikoli jako sérii smůly.

Pokud oběti obvykle uvádějí téměř tři přispívající podmínky, pak model obrany, podle kterého většina podniků stále funguje, tedy „najdi mezeru, zavři mezeru“, stojí proti útočníkovi, kterému stačí, aby byla zneužitelná jediná z nich. Obránce mezitím musí zvládat všechny najednou.

To není bezpečnostní problém. To je problém asymetrie.

Asymetrie: jedny dveře proti sedmi

Podívejte se na tu matematiku z pohledu útočníka.

Moderní operátor ransomwaru (skupina napojená na stát, afiliát RaaS nebo samostatná parta) nemusí najít a zneužít každou slabinu ve vašem prostředí. Potřebuje jedinou schůdnou cestu: jeden nezáplatovaný systém, jednu sadu kompromitovaných přihlašovacích údajů, jeden chybně nakonfigurovaný cloudový bucket, jednoho uživatele náchylného k phishingu, jednu administrativní mezeru.

Teď se na tu matematiku podívejte z pohledu obránce. Odpovídáte za:

1. Správu zranitelností napříč tisíci aktiv, v cyklech, před kterými žádný rytmus záplatování spolehlivě neudrží náskok.
2. Správu identit napříč lidskými uživateli, servisními účty, federovanými identitami a stále častěji i autonomními agenty.
3. Bezpečnost e-mailu a nástrojů pro spolupráci, tedy významný vstupní bod, a to ten s největší lidskou proměnlivostí. V průzkumu společnosti Sophos byly škodlivý e-mail a phishing dohromady kořenovou příčinou 37 % útoků.
4. Ochranu koncových bodů proti payloadům, které se vyvíjejí rychleji, než se dokáže přizpůsobit detekce založená na signaturách.
5. Segmentaci sítě navrženou proti modelům hrozeb, které se neustále mění.
6. Konfiguraci cloudu a SaaS napříč desítkami nebo stovkami služeb, z nichž každá má vlastní model oprávnění.
7. Infrastrukturu zálohování a obnovy, která musí fungovat v podmínkách, jimž zbytek vašeho stacku už nedokázal zabránit.

Útočník hraje na tomto hracím plánu jedno políčko. Obránce hraje všech sedm, každý den, s omezenými zdroji.

Těchto sedm domén je naše členění, nikoli sedm možností odpovědí ze Sophosu. Seznam společnosti Sophos popisuje organizační podmínky, jako jsou odborné znalosti, kapacita a neznámé mezery, a ty procházejí napříč všemi výše uvedenými doménami. Číslo 2,7 přesto asymetrii podkládá daty. Oběti popsaly své útoky (průzkum se ptal na předchozích 12 měsíců, takže mnohé z nich proběhly v roce 2024) jako výsledek v průměru téměř tří přispívajících podmínek. To není známka nedbalosti. Je to známka toho, že úplné prevence je strukturálně těžké dosáhnout.

Proč je „stačí opravit kořenovou příčinu“ špatná matematika

Běžnou reakcí na analýzu incidentu je identifikovat „kořenovou příčinu“ a odstranit ji. Většina poincidentních revizí toto myšlení posiluje. Data společnosti Sophos za rok 2025 ukazují, proč tento rámec, jakkoli je intuitivně uspokojivý, míjí to, jak samy oběti popisují, co se pokazilo.

Pokud oběti v průměru uvádějí 2,7 přispívajícího faktoru, pak revize, která se zastaví u jediné kořenové příčiny, bude pravděpodobně neúplná. Řekne vám, kterými dveřmi útočník prošel. Neřekne vám, proč měla budova tolik odemčených dveří, že některé z nich musely být vždy k dispozici.

Provozně na tom záleží. Zdroje vynaložené na konkrétní vstupní vektor loňského incidentu jsou zdroje, které nešly na architektonické mezery, jež rozhodnou o incidentu příštím. Naše čtení dat společnosti Sophos je, že organizace uvažující v režimu jediné kořenové příčiny pravděpodobně nedostatečně investují do vrstvených kontrol, které rozhodují o tom, zda jakýkoli vstupní vektor povede ke katastrofálnímu výsledku.

Strategické přerámování zní takto: v jakémkoli dostatečně složitém podnikovém prostředí útočníci nakonec schůdnou cestu najdou. Otázka, která rozhoduje o tom, zda tato cesta skončí zaplaceným výkupným, nezní „zavřeli jsme všechny dveře?“, ale „přežije naše architektura, když se jedny z nich otevřou?“

Kompenzační kontrola, kterou většina podniků podceňuje

Tady je architektonický poznatek, na který číslo 2,7 ukazuje: když prevence s určitou pravidelností selhává, vrstvy, které rozhodují o obchodních výsledcích, se posouvají níže v řetězci.

Právě zde se architektura záloh posouvá od „hygieny infrastruktury“ k „primární strategické kontrole“.

V modelu hrozeb s jediným vektorem jsou zálohy záložní možností. V modelu hrozeb s více faktory jsou zálohy kompenzační kontrolou pro selhání prevence, ke kterým dojde. První zpráva společnosti Sophos State of Ransomware in Enterprise 2025, postavená na 1 733 respondentech z organizací s 1 000 až 5 000 zaměstnanci, ukazuje, o co jde:

• 48 % podnikových obětí, jejichž data byla zašifrována, zaplatilo výkupné, aby je získalo zpět, oproti 55 % v roce 2024.
• Využití záloh k obnově zašifrovaných dat v podnicích kleslo na čtyřleté minimum 53 %, ze 73 % v roce 2024.
• Organizace s 1 000–5 000 zaměstnanci vynaložily na obnovu v průměru 1,83 mil. USD, bez jakéhokoli zaplaceného výkupného, podle hlavní zprávy za rok 2025.

Sophos čte údaje o platbách a zálohách společně tak, že ukazují „to stronger resistance to demands together with weaknesses and lack of backup resilience.“ (na silnější odpor vůči požadavkům spolu se slabinami a nedostatečnou odolností záloh). Poznamenává také, že 30 % podniků se zašifrovanými daty je obnovilo jinými prostředky, takže pokles využití záloh není jen příběhem selhávajících záloh. Obraz je přesto soudržný. K zašifrování dojde u menšího počtu útoků, ale když k němu dojde, obnovu nesly zálohy jen přibližně v polovině podnikových případů. Mezera mezi vyspělostí prevence a vyspělostí obnovy je přesně tím místem, kde se platí výkupné.

Pro lídry v oblasti podnikových rizik to znamená konkrétní přerozdělení architektonické pozornosti. Investice do detekce, identit a záplatování zůstávají nezbytné. Žádná z nich však číslo 2,7 neodstraní. Pouze mění, které tři dveře jsou v daný den otevřené. Kontrola, která rozhoduje o tom, zda se otevřené dveře stanou existenčním incidentem, je ta, kterou většina organizací nedostatečně modernizovala: architektura, která uchovává čisté, neměnné a ověřené kopie obchodně kritických dat a dokáže je obnovit v podmínkách útoku.

Jak může číslo 2,7 vypadat při incidentu

Sophos číslo 2,7 nerozkládá do posloupnosti, takže následující text je naší ilustrací toho, jak se přispívající faktory mohou v podnikovém prostředí skládat, nikoli daty z průzkumu:

Prvním faktorem bývá obvykle vstupní vektor: nezáplatované zařízení na perimetru, kompromitované přihlašovací údaje používané na více systémech nebo úspěšný phishingový e-mail. To je selhání, které poincidentní zpráva označí za „kořenovou příčinu“.

Druhým faktorem je typicky selhání oprávnění nebo viditelnosti, které umožnilo počáteční oporu rozšířit: nadměrná trvalá oprávnění, mezery v detekci laterálního pohybu nebo nedostatečná segmentace mezi obchodními jednotkami.

Třetím faktorem je ten, na který se zaměřujeme: selhání na úrovni vrstvy obnovy, které promění ohraničený průnik v zaplacené výkupné. Přihlašovací údaje k zálohám dosažitelné z produkce, retenční politiky, které mohou upravit kompromitovaní administrátoři, nebo postupy obnovy, které nikdy nebyly otestovány proti scénáři, kterému tým právě čelí. Sophos zde má jeden úzký datový bod: v hlavní zprávě za rok 2025 uvedlo ze 151 organizací, které zaplatily víc, než činil počáteční požadavek na výkupné, 38 %, že jejich zálohy selhaly nebo nefungovaly správně.

První dva faktory dostávají při reakci na incident pozornost. Třetí často rozhoduje o finančním výsledku a je těžké ho poctivě posoudit, dokud incident tuto otázku nevynutí.

To je provozní realita, na kterou číslo 2,7 ukazuje. Faktory nejsou abstraktní: dohromady tvoří sled selhání, který z řešitelné bezpečnostní události udělá krizi na úrovni představenstva.

Co to znamená pro alokaci rizik

Pokud přijmete zjištění 2,7 jako architektonicky významné (a průzkum mezi 3 400 organizacemi, které se staly obětí, je těžké odmítnout), plyne z toho několik závěrů pro alokaci.

Rozkládejte investice napříč řetězcem selhání, nikoli v rámci jediné vrstvy. Zdvojnásobení investic do bezpečnosti e-mailu při nezměněné architektuře obnovy mění, který faktor selže jako první; celkový počet selhání nesnižuje. Podnikové bezpečnostní rozpočty, které nepřiměřeně alokují na prevenci a zálohy přitom berou jako komoditní rozpočtovou položku, fungují proti modelu hrozeb, který neodpovídá tomu, jak oběti popisují své incidenty.

Posuzujte architektury proti scénářům s více faktory, nikoli testy jediného vektoru. Test, který potvrdí, že jedna obrana obstojí, není důkazem, že vaše prostředí přežije skutečný útok. V průzkumu společnosti Sophos uvedly oběti v průměru téměř tři přispívající faktory. Tabletop cvičení a red-team zakázky by měly být navrženy tak, aby tuto složenou podmínku výslovně testovaly.

Měřte důvěru v obnovu, nikoli dokončení záloh. Sophos neříká, proč využití záloh v podnicích kleslo na 53 %, a část poklesu odráží jiné metody obnovy. Podle našeho čtení bylo mnoho architektur záloh navrženo pro selhání jediného faktoru (odešel server, uživatel smazal soubor) a nyní se od nich očekává, že obstojí v podmínkách s více faktory (útočník je v síti dva týdny a sáhl na všechno). To jsou odlišné problémy. Vlastní doporučení společnosti Sophos zní „make quality backups and regularly practice restoring data from them.“ (pořizovat kvalitní zálohy a pravidelně z nich nacvičovat obnovu dat).

Berte vrstvu obnovy jako kompenzační kontrolu, kterou se stala. Když prevence bude občas selhávat, o výsledcích rozhoduje vrstva, která uchovává čisté, izolované a neměnné kopie dat a dokáže je rychle obnovit v nepřátelských podmínkách. Tato vrstva musí být navrhována, řízena a testována se stejnou důsledností jako produkční prostředí, které chrání.

Kde přichází na řadu BackupSec

V BackupSec stavíme náš přístup na jediné premise: prevence někde dříve či později selže, a když k tomu dojde, vrstva obnovy rozhodne, zda je selhání obnovitelné, nebo existenční.

Tři z našich služeb odpovídají otázkám, které číslo 2,7 otevírá:

• ZeroMON odpovídá na otázku „Co naše zálohovací prostředí právě teď skutečně dělá?“ Monitoruje Veeam Backup & Replication: stav úloh, změny konfigurace se záznamem kdo, co a kdy (Forensic & Audit), checklist Security Analyzer, reporty a honeypot na monitorovací appliance. Zobrazuje stav neměnnosti tak, jak ho uvádí vlastní nastavení repozitářů ve Veeamu; čte konfiguraci Veeamu a neověřuje zámky na úrovni objektů v úložišti. Upozornění chodí e-mailem a jako notifikace v aplikaci. ZeroMON se nasazuje on-premises jako OVA, připojuje se pomocí účtu jen pro čtení a nic neodesílá společnosti BackupSec ani žádné třetí straně.
• ZeroTAM odpovídá na otázku „Máme odborné znalosti, abychom to, co vidíme, dokázali vyložit?“ Právě tato otázka stojí za nejčastějším faktorem v seznamu společnosti Sophos. Vyhrazený poradce pro bezpečnost záloh pokrývá architekturu, plánování obnovy po ransomwaru a kapacitu, s prioritní podporou během krize. Jde o poradenství, nikoli software.
• ZeroPEN odpovídá na otázku „Jak daleko by se útočník proti našim zálohám dostal?“ Je to penetrační test řízený hrozbami (threat-led) pro Veeam Backup & Replication, Veeam ONE a Enterprise Manager, který simuluje ransomwarový kill chain v osmi fázích namapovaných na MITRE ATT&CK, od počátečního přístupu přes neutralizaci záloh až po prokázání schopnosti šifrovat. Je nedestruktivní: „never deletes real backups, performs real encryption, or stops production or backup services.“ (nikdy nemaže skutečné zálohy, neprovádí skutečné šifrování ani nezastavuje produkční nebo zálohovací služby). Nálezy jsou doložené důkazy připravenými pro audit a kritické nálezy jsou znovu otestovány.

Vaši zálohovací platformu nenahrazujeme. Pomáháme zajistit, aby vrstva obnovy, kterou podporuje, byla pozorovatelná, srozumitelná a otestovaná proti podmínkám s více faktory, které data společnosti Sophos popisují.

Pokud vaše organizace čte zprávu Sophos za rok 2025 a dochází k závěru, že odpovědí je zavřít všechny dveře, data vám říkají něco jiného: dveře nezůstanou zavřené všechny a architektura, která rozhoduje o tom, co se stane, když se jedny z nich otevřou, je tématem, o kterém stojí za to v roce 2026 mluvit.

Promluvte si s BackupSec →

Tato analýza vychází ze zpráv společnosti Sophos State of Ransomware 2025 a State of Ransomware in Enterprise 2025. Interpretace a rámec jsou vlastní BackupSec. Chcete-li probrat, jak se tato analýza vztahuje na vaše prostředí, kontaktujte náš tým →