Nejpodceňovanější číslo ve zprávě Sophos za rok 2025
Když Sophos zveřejnil svou zprávu State of Ransomware za rok 2025, většina mediálního pokrytí se soustředila na hlavní metriky: klesající míru šifrování, zlepšující se dobu obnovy, klesající platby výkupného. Tato čísla jsou reálná a záleží na nich. Ale v části zprávy, kterou autoři letos poprvé prozkoumali — organizační faktory, které nechaly firmy zranitelné — se skrývá jediná statistika, jež podle nás zcela mění způsob, jakým by lídři podnikového rizika měli o ransomwaru přemýšlet.
Napříč 3 400 dotazovanými organizacemi identifikovaly oběti v průměru 2,7 různých přispívajících faktorů, které stály za útoky, jež proti nim uspěly.
Ne jeden. Ani ne dva. Téměř tři nezávislé slabiny působící současně v každém úspěšném incidentu.
Toto není poznámka pod čarou. Je to matematický důkaz, že éra obrany proti ransomwaru založené na jediné kontrole skončila — a že architektura zálohování se tiše stala nejdůležitějším kompenzačním opatřením v moderním podnikovém zásobníku technologií.
Ve společnosti BackupSec věříme, že číslo 2,7 je strategicky nejužitečnějším údajem v celé zprávě. Tento článek rozebírá, co skutečně znamená, proč z něj strategie zaměřené výhradně na prevenci činí matematicky neudržitelné, a co z toho vyplývá pro organizace, které zálohování stále považují za druhořadou záležitost vedle „skutečné" bezpečnosti.
Co číslo 2,7 skutečně znamená
Ve zprávě Sophos za rok 2025 byli respondenti poprvé požádáni, aby identifikovali organizační faktory, které přispěly k tomu, že se stali terčem útoku — nejen technický vstupní bod, ale i širší provozní podmínky, které je učinily zranitelnými. Výsledky vykreslují obraz, který žádné manažerské shrnutí nedokáže jasně zachytit:
- 40,2 % uvedlo nedostatek odborných znalostí — nedostatečné dovednosti nebo znalosti k včasné detekci a zastavení útoku.
- 40,1 % uvedlo neznámé bezpečnostní mezery — slabiny v obraně, o kterých až do incidentu nevěděly.
- Výrazné procento respondentů uvedlo nedostatek kapacit, nedostatek ochranných produktů, mezery v procesní disciplíně a neúplnou viditelnost do vlastní útočné plochy.
- K tomu se přidávaly technické kořenové příčiny: zneužité zranitelnosti (32 %), kompromitované přihlašovací údaje (23 %), škodlivé e-maily (19 %) a phishing (18 %).
Když respondenti sečetli faktory, o nichž se domnívali, že přispěly k jejich incidentu, průměr vyšel na 2,7. Sophos to nazývá „komplexní, mnohostrannou situací". My bychom to nazvali přesněji: strukturální nevyhnutelností.
Pokud každý úspěšný ransomwarový incident v roce 2025 zahrnoval téměř tři nezávislá selhání, pak implicitní obranný model, kterým se stále řídí většina podniků — „najdi mezeru, uzavři mezeru" — funguje proti útočníkovi, kterému stačí najít jen jednu ze tří. Obránce mezitím musí zvládat všechny současně.
To není bezpečnostní problém. To je problém asymetrie.
Asymetrie: jedny dveře proti sedmi
Zvažme matematiku z pohledu útočníka.
Moderní provozovatel ransomwaru — ať už jde o skupinu napojenou na stát, afiliovaného partnera RaaS, nebo nezávislého útočníka — nepotřebuje identifikovat a zneužít každou slabinu ve vašem prostředí. Potřebuje najít jedinou funkční cestu: jeden nezáplatovaný systém, jednu sadu kompromitovaných přihlašovacích údajů, jeden špatně nakonfigurovaný cloudový úložný prostor, jednoho uživatele náchylného k phishingu, jednu administrativní mezeru.
Nyní zvažme matematiku z pohledu obránce. Jste zodpovědní za:
- Správu zranitelností napříč tisíci aktivy, v cyklech, kterým žádný interval nasazování záplat spolehlivě nestačí.
- Správu identit napříč lidskými uživateli, servisními účty, federovanými identitami a stále autonomnějšími agenty.
- Zabezpečení e-mailu a kolaboračních nástrojů, nejčastější vstupní bod a ten s nejvyšší lidskou proměnlivostí.
- Ochranu koncových zařízení proti škodlivým payloadům, které se vyvíjejí rychleji, než se jim dokáže přizpůsobit detekce založená na signaturách.
- Segmentaci sítě navrženou proti modelům hrozeb, které se neustále mění.
- Konfiguraci cloudu a SaaS napříč desítkami až stovkami služeb, z nichž každá má vlastní model oprávnění.
- Infrastrukturu zálohování a obnovy, která musí fungovat za podmínek, jimž zbytek vašeho zásobníku technologií už nedokázal zabránit.
Útočník hraje na tomto poli jedno políčko. Obránce hraje všech sedm, každý den, s omezenými zdroji.
Číslo 2,7 od Sophosu je empirickým potvrzením, že tato asymetrie už není hypotetická. Ve skutečných incidentech, k nimž došlo v roce 2025, obránci selhávali téměř ve třech políčkách současně — nikoli proto, že by byli nedbalí, ale proto, že model je strukturálně nastaven proti úplné prevenci.
Proč je „stačí opravit kořenovou příčinu" špatná matematika
Běžnou reakcí při analýze incidentu je identifikovat „kořenovou příčinu" a tu napravit. Rámce pro compliance toto uvažování posilují. Stejně tak většina revizí po incidentu. Data Sophosu za rok 2025 odhalují, proč je tento přístup, ač intuitivně uspokojivý, stále více odtržený od toho, jak se moderní incidenty skutečně odehrávají.
Pokud průměrný úspěšný incident zahrnuje 2,7 přispívajících faktorů, pak je identifikace jediné kořenové příčiny už ze své podstaty neúplnou analýzou. Řekne vám, kterými dveřmi útočník prošel — ne však, proč měla budova tolik odemčených dveří, že jedny z nich byly vždy k dispozici.
To má provozní význam, protože zdroje vynaložené na posedlé řešení konkrétního vstupního vektoru loňského incidentu jsou zdroje, které nebyly vynaloženy na architektonické mezery, jež rozhodnou o incidentu příštího roku. Data Sophosu naznačují, že organizace fungující v režimu jediné kořenové příčiny systematicky podinvestovávají do vrstvených kontrol, které rozhodují o tom, zda jakýkoli vstupní vektor povede ke katastrofickému výsledku.
Strategický posun v myšlení je následující: v jakémkoli dostatečně komplexním podnikovém prostředí útočníci nakonec najdou funkční cestu. Otázka, která rozhoduje o tom, zda tato cesta povede k zaplacení výkupného, nezní „uzavřeli jsme všechny dveře?", ale „přežije naše architektura, jakmile se jedny z nich otevřou?"
Kompenzační opatření, které většina podniků podceňuje
Zde je architektonický poznatek, kterému se díky číslu 2,7 nelze vyhnout: pokud bude prevence selhávat s matematickou pravidelností, vrstvy, které rozhodují o obchodních výsledcích, se přesouvají směrem dál po proudu.
Právě zde se architektura zálohování posouvá od „infrastrukturní hygieny" k „primárnímu strategickému opatření".
V modelu hrozeb založeném na jediném vektoru je záloha záchrannou sítí. V modelu hrozeb s 2,7 faktory je záloha kompenzačním opatřením pro každé selhání prevence, ke kterému nevyhnutelně dojde. Data Sophosu za rok 2025 to ukazují zcela jasně:
- 48 % podnikových organizací zaplatilo výkupné navzdory zlepšením v prevenci.
- Využití záloh k obnově zašifrovaných dat kleslo na čtyřleté minimum 53 %, z 73 % v předchozím roce.
- Průměrné náklady na obnovu v podnicích dosáhly 1,83 milionu USD u organizací s 1 000–5 000 zaměstnanci — a toto číslo nezahrnuje žádné zaplacené výkupné.
Když čtete tato čísla na pozadí faktoru 2,7, příběh dává smysl: organizace se zlepšují v prevenci některých útoků, ale nezlepšují architekturu obnovy, která rozhoduje o výsledku ve chvíli, kdy prevence selže. Výsledkem je prohlubující se propast mezi vyspělostí prevence a vyspělostí obnovy — a přesně v této propasti žijí platby výkupného.
Pro lídry podnikového rizika z toho vyplývá konkrétní přesun architektonické pozornosti. Investice do detekce, správy identit a nasazování záplat zůstávají zásadní. Žádná z nich ale neodstraní ono 2,7. Pouze mění, které tři dveře jsou daný den otevřené. Kontrolou, která rozhoduje o tom, zda se otevřené dveře stanou existenční hrozbou, je ta, kterou většina organizací nejméně modernizovala: architektura, jež uchovává čisté, neměnné a ověřené kopie obchodně kritických dat a dokáže je obnovit i za nepřátelských podmínek.
Jak vypadá 2,7 ve skutečném incidentu
Pro konkrétní představu zvažme, jak se číslo 2,7 obvykle skládá ve skutečném podnikovém prostředí. Konkrétní faktory se liší, ale vzorec je konzistentní:
První faktor bývá obvykle vstupní vektor: nezáplatované okrajové zařízení, kompromitovaný přihlašovací údaj opakovaně použitý napříč systémy, nebo úspěšný phishingový e-mail. Toto je selhání, které zpráva po incidentu označí za „kořenovou příčinu".
Druhý faktor je typicky selhání v oblasti oprávnění nebo viditelnosti, které umožnilo rozšíření počátečního přístupu: nadměrná trvalá oprávnění, mezery v detekci laterálního pohybu, nebo nedostatečná segmentace mezi obchodními jednotkami.
Třetí faktor je téměř vždy selhání ve vrstvě obnovy, které proměnilo zvládnuté narušení v zaplacené výkupné: přihlašovací údaje k zálohám dostupné z produkčního prostředí, zásady uchovávání dat upravitelné kompromitovanými administrátory, nebo postupy obnovy, které nikdy nebyly otestovány proti skutečnému scénáři, jemuž tým nyní čelí.
První dva faktory dostávají pozornost při reakci na incident. Třetí rozhoduje o finančním výsledku. A třetí je ten, který jsou podniky nejméně schopné čestně vyhodnotit dříve, než je k tomu donutí samotný incident.
Toto je provozní realita, na kterou číslo 2,7 poukazuje. Faktory nejsou abstraktní — jsou to konkrétní sled selhání, který proměňuje zvládnutelnou bezpečnostní událost v krizi na úrovni představenstva.
Co to znamená pro alokaci rizik
Pokud přijmete zjištění o hodnotě 2,7 jako architektonicky významné — a soubor dat Sophosu čítající 3 400 organizací jej činí obtížně odmítnutelným — vyplývá z toho několik závěrů pro alokaci zdrojů.
Diverzifikujte investice napříč celým řetězcem selhání, nikoli v rámci jediné vrstvy. Zdvojnásobení investic do zabezpečení e-mailu při zachování nezměněné architektury obnovy pouze mění, který faktor selže jako první; nesnižuje to celkový počet selhání. Podnikové bezpečnostní rozpočty, které alokují neúměrně velký podíl do prevence a přitom zálohování považují za komoditní položku, fungují proti modelu hrozeb, který už neodpovídá tomu, jak se incidenty skutečně odehrávají.
Hodnoťte architektury proti vícefaktorovým scénářům, nikoli proti testům jediného vektoru. Penetrační test, který potvrdí, že jedna obrana drží, není důkazem, že vaše prostředí přežije skutečný útok. Data Sophosu ukazují, že skutečné útoky zneužívají téměř tři slabiny současně. Cvičení typu tabletop a red-teamové akce by měly být navrženy tak, aby tuto kombinovanou podmínku výslovně testovaly.
Měřte důvěru v obnovu, nikoli dokončenost záloh. Míra využití záloh na úrovni 53 % v podnikových datech Sophosu není příběhem o obecném selhávání záloh. Je to příběh o architekturách zálohování navržených pro jednofaktorová selhání (server přestal fungovat, uživatel smazal soubor), po kterých se najednou žádá, aby fungovaly za vícefaktorových podmínek (útočník je v síti už dva týdny a dotkl se všeho). Jde o odlišné problémy a většina podnikových prostředí pro zálohování byla postavena pro ten první.
Zacházejte s vrstvou obnovy jako s kompenzačním opatřením, kterým se stala. Pokud bude prevence selhávat s matematickou pravidelností, o výsledcích rozhoduje vrstva, která uchovává čisté, izolované a neměnné kopie dat a dokáže je rychle obnovit i za nepřátelských podmínek. Tato vrstva musí být navržena, řízena a testována se stejnou důsledností jako produkční prostředí, které chrání.
Kde přichází na řadu BackupSec
Ve společnosti BackupSec je celý náš přístup postaven na jediné architektonické premise: prevence nakonec selže, a když k tomu dojde, o tom, zda je selhání zvládnutelné, nebo existenční, rozhoduje vrstva obnovy.
Zjištění o hodnotě 2,7 z dat Sophosu je v mnoha ohledech empirickým zdůvodněním této premisy. Tři služby, které poskytujeme — observabilitu, poradenství a penetračně ověřený důkaz obnovy — jsou navrženy tak, aby odpověděly na otázky, kterým číslo 2,7 nutí lídry podnikového rizika čelit:
- ZeroMON odpovídá na otázku „Co naše zálohovací prostředí právě teď skutečně dělá?" — prostřednictvím nepřetržitého monitorování zálohovacích operací a bezpečnostních signálů, forenzních auditních stop v reálném čase, detekce konfiguračního driftu a viditelnosti připravené pro Veeam napříč celým zálohovacím prostředím.
- ZeroTAM odpovídá na otázku „Máme odborné znalosti k tomu, abychom dokázali interpretovat to, co vidíme?" — prostřednictvím dedikovaného poradce pro zabezpečení záloh, který zná vaše prostředí, priority obnovy i vaši architekturu, a je k dispozici pro proaktivní vedení i reakci na krize bez tření spojeného se střídajícími se podpůrnými tikety.
- ZeroPEN odpovídá na otázku „Dokážeme se skutečně obnovit, když selže vrstva prevence?" — prostřednictvím penetračního testování záloh zaměřeného na vaše řídicí roviny, kontroly přístupu a stav neměnnosti dat, po němž následují skutečné scénáře obnovy, které ověřují čistou, úplnou a včasnou obnovu vůči vámi stanoveným hodnotám RTO a RPO.
BackupSec se nasazuje on-premise, připojuje se prostřednictvím přístupu k API pouze pro čtení a nikdy nepřesouvá zálohovaná data ani telemetrii mimo vaše prostředí. Nenahrazujeme vaši zálohovací platformu — činíme vrstvu obnovy, kterou tato platforma podporuje, pozorovatelnou, konzultovatelnou a prokazatelnou za vícefaktorových podmínek, které popisují data Sophosu.
Pokud vaše organizace čte zprávu Sophosu za rok 2025 a dochází k závěru, že odpovědí je uzavřít všechny dveře, data vám říkají něco jiného: ne všechny dveře zůstanou zavřené, a architektura, která rozhoduje o tom, co se stane, když se jedny z nich otevřou, je téma, o kterém stojí za to vést debatu v roce 2026.
Promluvte si se společností BackupSec o ověření obnovy →
Tato analýza vychází ze zprávy Sophos State of Ransomware 2025 a ze širšího výzkumu v oblasti ransomwaru z roku 2025. Interpretace a rámec zde prezentované jsou vlastním dílem společnosti BackupSec. Chcete-li probrat, jak se tato analýza vztahuje na vaše konkrétní prostředí, spojte se s naším týmem →