Nejnudnější zjištění zprávy Sophos 2025 je zároveň to nejdůležitější
Každý rok je diskuse o ransomwaru hlasitější, pokud jde o nové útočné techniky. Phishing generovaný umělou inteligencí. Sociální inženýrství pomocí deepfake. Adversariální strojové učení. Techniky living-off-the-land. Kompromitace dodavatelského řetězce prostřednictvím nenápadných závislostí. Tento narativ spolehlivě naznačuje, že obránci čelí zásadně nové hrozbě, která vyžaduje zásadně nové nástroje.
A každý rok se zpráva Sophos State of Ransomware, vycházející z na dodavateli nezávislého průzkumu mezi tisíci obětí, vrací se stejnou nemódní odpovědí.
Již třetí rok po sobě jsou zneužité zranitelnosti nejčastější technickou hlavní příčinou ransomwarových incidentů – odpovídají za 32% útoků v roce 2025.
Ne nové techniky založené na umělé inteligenci. Ne zero-day zranitelnosti. Ne exotické útoky na dodavatelský řetězec. Záplaty, které existovaly, ale nebyly nasazeny. Konfigurace, o kterých se vědělo, že jsou chybné. CVE s veřejně dostupnými exploity a upozorněními od dodavatelů, které skončily ve frontě a už se z ní nikdy nedostaly.
Toto zjištění by mělo znepokojit každého bezpečnostního lídra v podniku, protože jej nelze vyřešit nákupem nového nástroje. Jde o strukturální problém způsobu, jakým podnikové prostředí hromadí technický dluh – a data z roku 2025 naznačují, že žádná výše investic do pokročilé detekce jej nedokáže uzavřít.
Ve společnosti BackupSec vnímáme přetrvávání zneužívání zranitelností jako příčiny číslo jedna jako strategický signál: mezera mezi známými bezpečnostními slabinami a uzavřenými bezpečnostními slabinami je jediným nejspolehlivějším ukazatelem toho, které organizace se příští rok objeví ve sloupci „zaplatili výkupné". Tento článek rozebírá, proč tato mezera přetrvává, proč ji nelze uzavřít pouze prevencí a jaké to má architektonické důsledky pro organizace fungující v roce 2026.
Co data Sophos skutečně ukazují
Zpráva Sophos 2025 oslovila 3,400 lídrů z oblasti IT a kybernetické bezpečnosti ve 17 zemích, všechny z organizací, které byly v předchozích dvanácti měsících zasaženy ransomwarem. Na otázku o technické hlavní příčině jejich incidentu bylo rozložení odpovědí rok od roku pozoruhodně konzistentní:
- Zneužité zranitelnosti: 32% útoků – příčina číslo jedna již tři roky po sobě.
- Kompromitované přihlašovací údaje: 23% – pokles z 29% v roce 2024.
- Škodlivý e-mail: 19%.
- Phishing: 18% – nárůst z 11% v předchozím roce.
Sektorové zprávy tento vzorec potvrzují. Ve výrobním sektoru představovaly zneužité zranitelnosti 32% incidentů – opět jako vedoucí příčina. V maloobchodě byla hodnota 30%, rovněž na prvním místě. Napříč prakticky každým odvětvím, které Sophos publikoval, přetrvává stejné zjištění: třetina všech úspěšných ransomwarových útoků začíná u zranitelnosti, kterou dodavatel již záplatoval, o níž bezpečnostní tým teoreticky ví, a k níž se útočník jednoduše dostal jako první.
Co dělá toto zjištění strategicky významným, není jen jeho konzistence. Je to skutečnost, že zůstává příčinou číslo jedna navzdory třem letům intenzivních investic odvětví do nástrojů pro správu zranitelností, platforem pro správu útočné plochy, služeb hodnocení expozice a automatizace záplatování. Investice byly značné. Výsledek se nezměnil.
To by nám mělo něco napovědět o architektonické povaze tohoto problému.
Proč záplatování selhává – i když ho organizace provádějí
Intuitivní reakcí na tvrzení „32% útoků začíná u známých zranitelností" je „tak záplatujme rychleji". Tato reakce je správná, ale provozně nedostatečná, a stojí za to poctivě prozkoumat důvody, proč nestačí.
Problém jmenovatele. Typický středně velký podnik spravuje tisíce různých softwarových komponent napříč operačními systémy, aplikacemi, firmwarem, kontejnerovými obrazy a konfiguracemi SaaS. Upozornění od dodavatelů přicházejí nepřetržitě. Ani bezpečnostní tým fungující na nejvyšší úrovni nedokáže záplatovat každou komponentu v den zveřejnění CVE. Jmenovatel „věcí, které lze zneužít" je strukturálně větší než kapacita „věcí, které lze záplatovat tento týden".
Problém kritičnosti. Mnoho záplat vyžaduje odstávku, regresní testování nebo koordinaci s vlastníky byznysu, kteří chrání kontinuitu tržeb. Systémy, které záplatování potřebují nejvíce – aplikace dostupné z internetu, starší produkční systémy, OT a infrastruktura průmyslových řídicích systémů – jsou často ty, u nichž jsou obchodní náklady na odstávku nejvyšší. Záplaty se proto plánují, odkládají, slučují do dávek a nakonec zapomínají. Útočníci to vědí; cíleně útočí na kategorie systémů, u nichž je nejpravděpodobnější nahromaděný dluh v údržbě.
Problém odhalení. Nelze záplatovat to, co nevidíte. Vlastní data Sophos ukazují, že neznámé bezpečnostní mezery uvedlo jako přispívající faktor přes 40% obětí. Konkrétně v maloobchodě se 46% incidentů odvíjelo od neznámých mezer. Nejde o zranitelnosti, které se organizace rozhodly nezáplatovat – jde o zranitelnosti, o kterých organizace nevěděly. Shadow IT, nezdokumentované systémy, zapomenuté cloudové úlohy, integrace třetích stran s vlastními stromy závislostí: moderní podnikový útočný povrch je opravdu obtížné zmapovat a právě v mezeře mezi tím, co ukazuje evidence aktiv, a tím, kam se útočník skutečně dostane, se skrývá většina zneužitých zranitelností.
Problém časového okna. I když je zranitelnost známá a záplata dostupná, čas mezi zveřejněním a aktivním zneužitím se dramaticky zkrátil. Aktéři hrozeb sledují upozornění dodavatelů se stejnou pečlivostí jako bezpečnostní týmy a zbraněmi upravené exploity pro vysoce závažné CVE se dnes běžně objevují během dnů – někdy hodin – od zveřejnění. Okno pro záplatování, které existovalo před pěti lety, už u žádné zranitelnosti dostatečně závažné na to, aby přitáhla pozornost, neexistuje.
Žádný z těchto problémů nevyřeší nákup dalšího nástroje pro správu zranitelností. Jde o strukturální rysy fungování podnikového prostředí a vysvětlují, proč se číslo 32% za tři roky nezměnilo navzdory obrovským investicím do obrany.
Rozptýlení pozornosti umělou inteligencí
Stojí za to řešit to přímo: data Sophos z roku 2025 jsou zároveň užitečnou korekcí dominantního narativu o útocích poháněných umělou inteligencí.
Diskuse v odvětví se v roce 2025 silně soustředila na phishingové kampaně generované umělou inteligencí, sociální inženýrství založené na deepfake a únikové techniky umožněné strojovým učením. Tyto hrozby jsou reálné a zaslouží si pozornost – zejména vzhledem k výzkumům, které ukazují, že drtivá většina phishingových e-mailů dnes obsahuje obsah generovaný umělou inteligencí.
Data Sophos ale poskytují užitečnou kontrolu reality, pokud jde o to, kam by se peníze a pozornost měly skutečně směřovat. Phishing vylepšený umělou inteligencí přispívá k nárůstu incidentů souvisejících s phishingem (z 11% na 18% meziročně). Nenahrazuje však zneužívání zranitelností jako dominantní vstupní vektor. Třetina všech útoků, které začínají u nezáplatovaných systémů, se nezmenšuje jen proto, že útočníci mají přístup k lepším jazykovým modelům. Diskuse o umělé inteligenci naopak spíše fungovala jako rozptýlení od nepůvabného, strukturálního problému, který tiše způsobuje třetinu všech ransomwarových incidentů už tři roky po sobě.
Strategickým důsledkem pro lídry řízení rizik v podnicích je zdravá skepse vůči jakémukoli narativu dodavatelů, který naznačuje, že nejdůležitější obrannou investicí je vždy ta nejnovější. Data Sophos ukazují jiným směrem: nejdůležitější obrannou investicí může být ta, díky níž nudný, strukturální problém správy zranitelností přestane být tolik nosným prvkem pro celkové výsledky.
Co skutečně znamená „méně nosný prvek"
Zde je architektonický poznatek, který vyplývá z přijetí faktu, že zneužívání zranitelností nelze zcela eliminovat: pokud třetina všech útoků bude i nadále začínat u záplaty, kterou jste neaplikovali včas, pak se strategická otázka mění z „jak záplatovat rychleji?" na „co se stane, když to nestihneme?".
Právě této otázce se většina podnikových bezpečnostních architektur stále vyhýbá.
V obranném modelu, kde se předpokládá, že prevence funguje, je zneužití zranitelnosti vnímáno jako selhání, které je třeba odstranit. V obranném modelu, který bere data Sophos vážně, je zneužití zranitelnosti vnímáno jako opakující se stav, který musí zbytek architektury absorbovat, aniž by to vedlo ke katastrofálním výsledkům.
Přechod od eliminace k absorpci je stejný architektonický posun, jakým prošlo vyspělé inženýrství spolehlivosti (reliability engineering) před deseti lety. V distribuovaných systémech selhání neeliminujete. Navrhujete systémy, které se při selhání degradují postupně a řízeně. Měříte střední dobu do obnovy (mean time to recovery), nejen střední dobu mezi selháními (mean time between failures). Odolnost chápete jako primární architektonickou vlastnost, nikoli jako druhotný úklid po selhání prevence.
Podniková bezpečnost začíná, velmi pomalu, uplatňovat stejnou logiku. Data Sophos z roku 2025 jsou podle našeho výkladu zatím nejsilnějším empirickým důkazem toho, že tento přechod je již dávno na čase.
Kde se architektura zálohování stává klíčovým bodem obratu
Když je zranitelnost zneužita a útočník si vytvoří přístupový bod, následující řetězec událostí je dobře zdokumentovaný: laterální pohyb, eskalace oprávnění, průzkum cenných dat, exfiltrace a nakonec nasazení škodlivého payloadu. Moderní aktéři hrozeb stráví v kompromitovaném prostředí v průměru 12 až 22 dní, než nasadí ransomware – čas, který využívají konkrétně k identifikaci a neutralizaci kontrolních mechanismů, jež by jinak umožnily obnovu.
Nejdůležitějším z těchto kontrolních mechanismů je zálohovací prostředí.
Pokud je vaše zálohovací infrastruktura dosažitelná ze systému, u kterého útok začal zneužitím zranitelnosti, pak tato zranitelnost neumožnila jen útok – umožnila útoku zvítězit. Zneužité CVE na aplikaci dostupné z internetu se stává architektonicky významným nikoli kvůli tomu, co dělá na hostiteli, kde bylo zneužito, ale kvůli tomu, co útočníkovi umožní udělat s vaší obnovovací vrstvou během následujících dvou týdnů.
Toto je architektonický bod obratu, který data Sophos naznačují. Zneužívání zranitelností zůstane příčinou číslo jedna i v dohledné budoucnosti. Proměnnou, která určuje výsledek, je to, zda je vaše obnovovací architektura dosažitelná ze systémů, kde budou tyto zranitelnosti nevyhnutelně zneužity.
Konkrétně to znamená:
Oddělení identit. Přihlašovací údaje, které chrání produkční systémy, nesmí umožňovat přístup k zálohovací infrastruktuře. Pokud se kompromitovaný účet doménového administrátora dokáže dostat k vašemu zálohovacímu úložišti, jsou vaše zálohy součástí útočné plochy, kterou nezáplatovaná zranitelnost odhalila.
Ověřená neměnnost. Softwarově řízené politiky uchovávání dat může upravit kdokoli s dostatečným oprávněním. Zámky uchovávání vynucené hardwarem nebo platformou jsou navrženy tak, aby tomu odolaly – ale právě mezera mezi tím, co je „nakonfigurováno", a tím, co „skutečně funguje podle záměru", je místo, kde mnoho podnikových zálohovacích prostředí při reálných incidentech selhává. Ať už je vaše neměnnost vynucována zálohovací platformou, úložnou vrstvou, nebo zabezpečeným (hardened) repozitářem, důležitou vlastností je, zda byla otestována v podmínkách skutečného útoku, nikoli pouze zapnuta v nastavení.
Síťová a důvěrnostní izolace. Zálohovací prostředí, které se nachází ve stejné síťové doméně jako produkční systémy, je z pohledu modelování hrozeb součástí produkce. Právě logická a fyzická izolace mění zálohovací infrastrukturu z „dalšího cíle" na „vrstvu, která přežije i tam, kde ostatní cíle nepřežijí".
Průběžné ověřování obnovy. Záloha, která nebyla otestována proti konkrétním podmínkám skutečného útoku, je hypotéza, nikoli kontrolní mechanismus. Data z roku 2025 ukazují, že 53% podniků nepoužilo zálohy k obnově po úspěšném ransomwarovém incidentu, přestože zálohy měly. Nejpravděpodobnějším vysvětlením je, že zálohy, které měly, nebyly nikdy ověřeny proti scénářům, které se skutečně odehrály. Architektonická ochrana proti tomuto typu selhání vyžaduje testování, nejen provoz.
Strategické přerámování
Pro lídry řízení rizik v podnicích není přetrvávání zneužívání zranitelností jako příčiny číslo jedna obžalobou programů správy zranitelností. Je to důkaz toho, že správa zranitelností – bez ohledu na to, jak dobře je prováděna – strukturálně nedokáže sama unést celou tíhu obrany proti ransomwaru.
Zjištění Sophos, že 32% útoků začíná u známých zranitelností, je třeba číst společně se zjištěním, že 48% postižených podniků zaplatilo výkupné. Tato čísla spolu souvisejí. Popisují obrannou pozici, v níž se od prevence očekává neomylnost, protože se nelze spolehnout na obnovovací vrstvu. Strategickou nápravou není učinit prevenci ještě neomylnější – je jí učinit obnovu natolik spolehlivou, aby selhání prevence neurčovala obchodní výsledky.
Tato náprava je architektonická. A je také již dávno na čase. Organizace, které tuto mezeru v příštích dvanácti měsících uzavřou, budou ty, jejichž obnovovací vrstva dokáže absorbovat nevyhnutelnou třetinu incidentů, které budou i nadále začínat u nezáplatovaného systému. Organizace, kterým se to nepodaří, se budou rok co rok znovu objevovat ve stejném řádku zprávy Sophos.
Kde přichází na řadu BackupSec
Ve společnosti BackupSec je naše služba postavena na předpokladu, že prevence bude selhávat zhruba v takové míře, jakou popisují data Sophos – a že vrstvou, která v takovém případě určuje výsledek, je obnovovací infrastruktura uchovávající čisté, izolované kopie byznysově kritických dat, spolu s provozní disciplínou, jež prokazuje, že je lze obnovit.
Každá z našich tří služeb řeší konkrétní mezeru, kterou odhaluje přetrvávání zneužívání zranitelností jako příčiny číslo jedna:
- ZeroMON poskytuje průběžnou observabilitu nad zálohovacími operacemi, driftem konfigurace a bezpečnostními signály – takže když je zneužita zranitelnost a útočník stráví v síti dva týdny, průzkumná aktivita zaměřená na vaše zálohovací prostředí je viditelná, nikoli tichá.
- ZeroTAM poskytuje vašemu týmu dedikovaného poradce pro bezpečnost záloh pro architektonická rozhodnutí, plánování kapacit a strategii obnovy – čímž řeší strukturální mezeru v odbornosti, která rozhoduje o tom, zda je vaše zálohovací vrstva dosažitelná ze systémů, u nichž je nejpravděpodobnější kompromitace prostřednictvím nezáplatovaných zranitelností.
- ZeroPEN je podle nás nejpřímější odpovědí na zjištění o 32%. Penetračně testujeme vaše řídicí roviny pro správu záloh, řízení přístupu, nastavení neměnnosti a stav izolace stejným způsobem, jakým by postupoval útočník, jehož útok začal zneužitím zranitelnosti – následně spouštíme reálné scénáře obnovy, abychom ověřili, že obnova funguje čistě, úplně a včas. Výstupem není seznam zjištění k nápravě. Je jím zdokumentovaný důkaz, že vaše zálohovací vrstva přežije konkrétní podmínky, které popisují data Sophos.
BackupSec se nasazuje on-premise. K vašim zálohovacím aplikacím se připojujeme prostřednictvím přístupu k API pouze pro čtení (read-only). Vaše zálohovací data, telemetrie a konfigurační detaily zůstávají uvnitř vašeho prostředí.
Hodnota 32% není osud. Je to popis strukturální podmínky, která určuje výsledek pouze tehdy, když je obnovovací vrstva nastavena tak, že selže společně s vrstvou prevence. Organizace, které tyto dvě vrstvy oddělí, přestanou být zranitelné vůči dominantní hlavní příčině ransomwaru v roce 2026 – ne proto, že záplatovaly rychleji, ale proto, že si ověřily, že záplatování není nosným prvkem pro výsledky jejich obnovy.
Promluvte si se společností BackupSec o penetračním testování záloh a ověřování obnovy →
Tato analýza vychází ze zprávy Sophos State of Ransomware 2025 a širšího výzkumu ransomwaru z roku 2025. Zde uvedená interpretace a rámec jsou vlastním dílem společnosti BackupSec. Chcete-li prodiskutovat, jak se tato analýza vztahuje na vaše konkrétní prostředí, spojte se s naším týmem →