Nejnudnější zjištění v datech Sophos je zároveň to nejdůležitější
Každý rok se debata o ransomwaru stále hlasitěji točí kolem nových technik útoku. Phishing generovaný AI. Sociální inženýrství s deepfaky. Adversariální strojové učení. Binárky typu living-off-the-land. Kompromitace dodavatelského řetězce přes málo známé závislosti. Narativ spolehlivě naznačuje, že obránci čelí zásadně nové hrozbě, která vyžaduje zásadně nové nástroje.
Ve třech průzkumech po sobě přinesla zpráva Sophos State of Ransomware méně módní odpověď. Vydání 2025 to shrnuje jednou větou:
„For the third year running, victims identified exploited vulnerabilities as the most common technical root cause of attack, used in 32% of incidents.“
(Již třetí rok po sobě oběti označily zneužité zranitelnosti za nejčastější technickou kořenovou příčinu útoku, použitou ve 32 % incidentů.)
Žádná exotická technika. Chyba v softwaru, který oběť už provozovala, použitá jako cesta dovnitř. Sophos tuto kategorii nedělí na zero-day zranitelnosti a chyby, pro které už existovala záplata, takže průzkum neumí říct, kolik z těchto incidentů šlo v den útoku vyřešit záplatou. Říká ale, že po tři roky oběti žádný jiný jednotlivý vstupní bod neuváděly častěji.
Tato série mezitím skončila. Ve vydání 2026 klesly zneužité zranitelnosti na 18 %, za škodlivý e-mail (26 %), phishing (24 %) a kompromitované přihlašovací údaje (23 %). K tomuto posunu se vrátíme níže, protože argument spíš zostřuje, než oslabuje: hlavní vstupní bod se změnil během jediného roku a problém obránce s obnovou se s ním nezměnil.
V BackupSec čteme tříletou sérii jako strategický signál. Mezera mezi známými bezpečnostními slabinami a uzavřenými slabinami se nezmenšuje podle harmonogramu prevence. Tento článek se zabývá tím, proč tato mezera přetrvává, proč ji samotná prevence nedokáže uzavřít a co to znamená pro architekturu záloh v roce 2026.
Co data Sophos skutečně ukazují
Zpráva Sophos za rok 2025 vychází z nezávislého průzkumu, nevázaného na konkrétního dodavatele, který si Sophos objednal a který v období leden až březen 2025 provedl externí specializovaný subjekt. Zahrnuje 3 400 vedoucích pracovníků IT a kybernetické bezpečnosti ze 17 zemí, všechny z organizací se 100 až 5 000 zaměstnanci, které byly v předchozích dvanácti měsících zasaženy ransomwarem. Sophos pojmenovává každou zprávu podle roku, kdy průzkum proběhl, a uvádí, že „many of the attacks referenced occurred in 2024.“ (mnohé ze zmíněných útoků proběhly v roce 2024). Na otázku po kořenové příčině odpovědělo všech 3 400 respondentů:
- Zneužité zranitelnosti: 32 % útoků, příčina č. 1 již třetí rok po sobě (36 % ve zprávě za rok 2023, 32 % v roce 2024).
- Kompromitované přihlašovací údaje: 23 %, pokles z 29 % v roce 2024.
- Škodlivý e-mail: 19 %.
- Phishing: 18 %, nárůst z 11 % v předchozím roce.
Odvětvové zprávy postavené na stejném průzkumu z roku 2025 tento vzorec většinou sledují. Ve výrobě byly zneužité zranitelnosti hlavní příčinou s 32 %. V maloobchodu vedly již třetí rok po sobě s 30 %. Ne každé odvětví zapadá: ve zdravotnictví se zneužité zranitelnosti dostaly na první místo s 33 % „for the first time in three years.“ (poprvé za tři roky). Vzorec byl široký, nikoli univerzální.
Jedna výhrada k samotnému průzkumu. Zaznamenává, co oběti považují za kořenovou příčinu, a vlastní data Sophos z incidentů vyznívají trochu jinak. V případech reakce na incidenty a MDR z roku 2024, zahrnutých do jeho 2025 Active Adversary Report, vedly kompromitované přihlašovací údaje (41 %) a zneužité zranitelnosti byly druhé (22 %). Tak či onak je zneužívání zranitelností na vrcholu nebo blízko něj.
To, co z výsledku průzkumu dělá důležité zjištění, je jeho vytrvalost. Podíl se snížil z 36 % na 32 % a pak se na této úrovni udržel, a po tři roky ho nic nepředstihlo.
To by nám mělo říct něco architektonického o samotném problému.
Proč záplatování selhává, i když ho organizace provádějí
Intuitivní reakce na tvrzení „třetina útoků začíná zneužitou zranitelností“ zní „tak záplatujte rychleji“. Tato reakce je správná, ale provozně nedostatečná, a důvody, proč nestačí, stojí za to poctivě prozkoumat.
Problém jmenovatele. Středně velká organizace může snadno provozovat tisíce různých softwarových komponent napříč operačními systémy, aplikacemi, firmwarem, image kontejnerů a konfiguracemi SaaS. Bezpečnostní upozornění dodavatelů přicházejí nepřetržitě. Ani bezpečnostní tým ve špičkové formě nedokáže záplatovat každou komponentu v den zveřejnění CVE. Jmenovatel „věcí, které lze zneužít“ je strukturálně větší než kapacita „věcí, které lze tento týden záplatovat“.
Problém kritičnosti. Mnoho záplat vyžaduje odstávku, regresní testování nebo koordinaci s vlastníky byznysu, kteří chrání tržby. Systémy, které záplatování potřebují nejvíc (aplikace vystavené navenek, starší produkční systémy, OT a infrastruktura průmyslového řízení), jsou často právě ty, u kterých odstávka stojí nejvíc. Záplaty se proto plánují, odkládají, sdružují a nakonec se na ně zapomene. Tento údržbový dluh je přesně místem, kam se útočník hledající cestu dovnitř podívá nejdřív.
Problém viditelnosti. Nemůžete záplatovat, co nevidíte. V průzkumu Sophos za rok 2025 byly bezpečnostní mezery, o kterých organizace nevěděla, přispívajícím faktorem ve 40,1 % útoků, těsně za nedostatkem odborných znalostí (40,2 %). Respondenti uváděli v průměru 2,7 přispívajícího faktoru, takže jde o spolupůsobící příčiny, nikoli o jediné příčiny. V maloobchodu byly neznámé bezpečnostní mezery nejčastěji uváděnou provozní příčinou, kterou zmínilo 46 % obětí. Stínové IT, nezdokumentované systémy, zapomenuté cloudové workloady a integrace třetích stran s vlastními stromy závislostí činí moderní útočnou plochu skutečně obtížně zmapovatelnou. Mezera mezi tím, co ukazuje váš inventář aktiv, a tím, na co útočník skutečně dosáhne, je místem, kde žije mnoho zneužitých zranitelností.
Problém okna. I když je zranitelnost známá a záplata existuje, doba do zneužití se dramaticky zkrátila. Analýza doby do zneužití společnosti Mandiant naměřila průměrně 63 dní v letech 2018–2019, 32 dní v letech 2021–2022 a pět dní v roce 2023. Z chyb, které sledovala a které byly zneužity až poté, co byla k dispozici záplata, bylo 12 % zneužito do jednoho dne a 29 % do jednoho týdne. A 70 % zneužitých zranitelností, které v roce 2023 sledovala, bylo použito jako zero-day, tedy dříve, než vůbec nějaká záplata existovala. Okno pro záplatování, jaké bylo ještě před několika lety, je pryč.
Žádný z těchto problémů nevyřeší nákup dalšího nástroje pro správu zranitelností. Jde o strukturální rysy toho, jak organizace provozují IT, a pomáhají vysvětlit, proč zneužité zranitelnosti zůstaly na vrcholu seznamu Sophos tři roky.
Rozptýlení jménem AI
Data Sophos za rok 2025 také užitečně korigovala převládající narativ o útocích poháněných AI.
Oborová debata v roce 2025 se silně točila kolem phishingových kampaní generovaných AI, sociálního inženýrství s deepfaky a obcházení detekce pomocí strojového učení. Tyto hrozby jsou skutečné a zaslouží si pozornost. Phishing v průzkumu z roku 2025 skutečně vzrostl, z 11 % na 18 % útoků. Sophos neuvádí, jakou část tohoto nárůstu tvořily návnady napsané pomocí AI, a my to říct také neumíme. Data za rok 2025 ale ukazují, že phishing nevytlačil zneužité zranitelnosti z pozice hlavního vstupního bodu.
Vydání 2026 obraz posouvá dál. Do čela se dostaly útoky přes e-mail: škodlivý e-mail (26 %) a phishing (24 %) dohromady tvořily polovinu všech incidentů, zatímco zneužité zranitelnosti klesly o 14 bodů na 18 %. Ani tento posun Sophos nepřipisuje AI.
Praktické poučení pro lídry v oblasti rizik zní: buďte skeptičtí k jakémukoli narativu, včetně našeho, který tvrdí, že nejdůležitější obrannou investicí je ten vektor, který letos vede. Lídr se změnil během dvanácti měsíců. Obrana, která závisí na uzavření jedněch konkrétních dveří, sází na pohyblivý cíl. Trvanlivější je investice, díky které na žádném jednotlivém vstupním vektoru výsledek tolik nestojí.
Co ve skutečnosti znamená „méně nosný“
Tady je architektonický poznatek, který plyne z přijetí toho, že zneužívání zranitelností nelze zcela odstranit. Pokud významná část útoků bude i nadále začínat chybou, kterou jste nezáplatovali včas (zhruba třetina z nich ve třech po sobě jdoucích průzkumech Sophos a ve čtvrtém stále téměř každý pátý), strategická otázka se posouvá od „jak záplatovat rychleji?“ k „co se stane, když to nestihneme?“
Toto je otázka, které se většina bezpečnostních architektur stále vyhýbá.
V modelu obrany, který předpokládá, že prevence funguje, se zneužití zranitelnosti chápe jako selhání, které je třeba odstranit. V modelu obrany, který bere data Sophos vážně, se chápe jako opakující se stav, který musí zbytek architektury absorbovat bez katastrofálního výsledku.
Posun od odstraňování k absorpci je tentýž posun, který vyspělé inženýrství spolehlivosti udělalo už před lety. V distribuovaných systémech selhání neodstraníte. Navrhujete systémy, které při selhání degradují řízeně. Měříte střední dobu do obnovy, nejen střední dobu mezi poruchami. Odolnost chápete jako primární architektonickou vlastnost, nikoli jako úklid poté, co prevence selže.
Bezpečnost pomalu začíná uplatňovat stejnou logiku. Data Sophos jsou podle našeho čtení silným důkazem, že tento přechod měl nastat už dávno.
Kde se architektura záloh stává bodem zlomu
Když je zranitelnost zneužita a útočník získá oporu, řetězec, který následuje, je dobře zdokumentovaný: laterální pohyb, eskalace oprávnění, průzkum, exfiltrace a nakonec nasazení payloadu. Je také rychlý. V případech z roku 2024, na kterých stojí 2025 Active Adversary Report společnosti Sophos, byl medián doby setrvání útočníka (dwell time) v ransomwarových případech reakce na incidenty 4 dny a v případech MDR 3 dny. To je čas, který má útočník na to, aby našel a neutralizoval kontroly, jež by jinak umožnily obnovu, a je kratší než většina revizních cyklů.
Nejdůležitější z těchto kontrol je zálohovací prostředí.
Pokud je vaše zálohovací infrastruktura dosažitelná ze systému kompromitovaného zneužitím zranitelnosti, zranitelnost neumožnila jen útok. Umožnila útoku vyhrát. Zneužitá CVE v aplikaci vystavené do internetu je architektonicky méně důležitá kvůli tomu, co způsobí na daném hostiteli, než kvůli tomu, co útočníkovi umožní udělat s vaší vrstvou obnovy v následujících dnech.
To je bod zlomu, na který data Sophos ukazují. Zneužité zranitelnosti zůstanou jednou z hlavních cest dovnitř, ať už v daném roce obsadí jakékoli místo. Proměnnou, která rozhoduje o výsledcích, je to, zda je vaše architektura obnovy dosažitelná ze systémů, na kterých útočníci tuto oporu získají.
Konkrétně to znamená:
Oddělení identit. Přihlašovací údaje, které chrání produkční systémy, nesmějí poskytovat přístup k zálohovací infrastruktuře. Pokud kompromitovaný účet doménového administrátora dosáhne na váš zálohovací repozitář, jsou vaše zálohy součástí útočné plochy, kterou nezáplatovaná zranitelnost otevřela.
Ověřená neměnnost. Softwarové retenční politiky může upravit kdokoli s dostatečnými oprávněními. Retenční zámky vynucované hardwarem nebo platformou jsou navrženy tak, aby tomu odolaly, ale „nakonfigurováno“ a „skutečně funguje, jak má“ jsou dvě různá tvrzení a rozliší je jen test. Ať už neměnnost vynucuje vaše zálohovací platforma, vrstva úložiště nebo zabezpečený (hardened) repozitář, podstatné je, zda byla otestována v podmínkách útoku, nikoli jen zapnuta v panelu nastavení.
Izolace sítě a důvěry. Zálohovací prostředí, které leží ve stejné síťové doméně jako produkční systémy, je z pohledu modelování hrozeb součástí produkce. Logická a fyzická izolace jsou tím, co ze zálohovací infrastruktury dělá místo „dalšího cíle“ „vrstvu, která přežije, když jiné cíle nepřežijí“.
Pravidelné ověřování obnovy. V průzkumu Sophos za rok 2025 obnovilo data ze záloh jen 54 % organizací, jejichž data byla zašifrována, což je nejnižší podíl za šest let a třetí pokles po sobě. Sophos se ostatních neptá proč. Uvádí však, že 29 % použilo „other means“ (jiné prostředky), což podle Sophosu pravděpodobně zahrnuje dešifrovací klíče, které byly zveřejněny (bylo možné zvolit více odpovědí). Jeho jediný přímý údaj o selhaných zálohách je úzký: ze 151 organizací, které zaplatily víc, než činil počáteční požadavek, 38 % uvedlo, že jejich zálohy selhaly nebo nefungovaly správně. Vydání 2026 ukazuje oživení: ze záloh se zotavilo 66 % obětí se zašifrovanými daty. Tak či onak, záloha, ze které se nikdy neobnovovalo v realistických podmínkách, je hypotéza, nikoli kontrola.
Strategické přerámování
Pro lídry v oblasti rizik není tříletá vedoucí pozice zneužívání zranitelností na vrcholu seznamu obžalobou programů správy zranitelností. Je důkazem, že správa zranitelností, jakkoli dobře prováděná, nedokáže sama unést celou váhu obrany proti ransomwaru.
Zjištění z roku 2025, že 32 % útoků začalo zneužitou zranitelností, je třeba číst společně s dalším údajem ze stejného průzkumu: výkupné zaplatilo 49 % organizací, jejichž data byla zašifrována, oproti 56 % v předchozím roce. Ve vydání 2026 to bylo 48 % a Sophos uvádí čtyřletý průměr zhruba 50 %. Podle našeho čtení spolu tato čísla souvisejí. Popisují stav, kdy se od prevence žádá neomylnost, protože na vrstvu obnovy se nelze spolehnout. Náprava nespočívá v tom, udělat prevenci ještě neomylnější. Spočívá v tom, udělat obnovu natolik spolehlivou, aby selhání prevence nerozhodovala o obchodních výsledcích.
Tato náprava je architektonická a měla přijít už dávno. Mezeru uzavřou ty organizace, jejichž vrstva obnovy dokáže incident absorbovat bez ohledu na to, kterými dveřmi přišel. Data za rok 2026 ukazují, jak rychle se mohou změnit nejfrekventovanější dveře.
Kde přichází na řadu BackupSec
V BackupSec vycházíme z předpokladu, že prevence občas selže, a když se to stane, výsledek závisí na dvou věcech: zda existují čisté, izolované kopie vašich dat a zda někdo ověřil, že vrstva záloh obstojí proti útoku, který přichází.
Tři z našich služeb odpovídají výše popsaným mezerám:
- ZeroMON monitoruje Veeam Backup & Replication. Běží on-premises jako OVA, připojuje se pomocí účtu jen pro čtení a nic neodesílá společnosti BackupSec ani žádné třetí straně. Sleduje stav úloh a změny konfigurace ve Veeamu (kdo co změnil a kdy), zobrazuje stav neměnnosti tak, jak ho uvádí vlastní nastavení repozitářů ve Veeamu, zobrazuje výsledky nástroje Security & Compliance Analyzer od Veeamu a obsahuje honeypot, který zaznamenává skenování a pokusy o připojení k appliance ZeroMON jako časný signál průzkumu. Upozornění se odesílají e-mailem a notifikací v aplikaci. Protože čte konfiguraci Veeamu, neověřuje zámky na úrovni objektů v samotném úložišti.
- ZeroTAM poskytne vašemu týmu vyhrazeného poradce pro bezpečnost záloh v oblasti architektury, plánování obnovy po ransomwaru a kapacity, s prioritní podporou během krize. Jde o poradenskou práci, nikoli software.
- ZeroPEN je penetrační test řízený hrozbami (threat-led) pro Veeam Backup & Replication a navíc Veeam ONE a Enterprise Manager. Simuluje ransomwarový kill chain v osmi fázích namapovaných na MITRE ATT&CK, od počátečního přístupu přes kompromitaci serveru Veeam, přístup k repozitářům a neutralizaci záloh až po prokázání schopnosti šifrovat. Je nedestruktivní: „ZeroPEN never deletes real backups, performs real encryption, or stops production or backup services.“ (ZeroPEN nikdy nemaže skutečné zálohy, neprovádí skutečné šifrování ani nezastavuje produkční nebo zálohovací služby.) Získáte důkazy připravené pro audit o tom, na co by útočník s oporou v prostředí dosáhl, a opakovaný test kritických nálezů.
Údaj 32 % nikdy nebyl osudem a údaj 18 % za rok 2026 není odkladem. Oba popisují hlavní vchod. O výsledku rozhoduje to, zda vrstva obnovy selže spolu s vrstvou prevence. Jejich oddělení vás vůči zneužitým zranitelnostem neučiní imunními. Díky němu je ale mnohem méně pravděpodobné, že o tom, zda zaplatíte, rozhodne jedna vynechaná záplata.
Promluvte si s BackupSec o penetračním testování záloh →
Tato analýza vychází ze zpráv Sophos State of Ransomware 2025 a 2026, z odvětvových zpráv Sophos za rok 2025 pro výrobu, maloobchod a zdravotnictví, ze zprávy Sophos 2025 Active Adversary Report a z analýzy doby do zneužití od společnosti Mandiant z roku 2023. Interpretace a rámec jsou vlastní BackupSec. Chcete-li probrat, jak se vztahují na vaše prostředí, kontaktujte náš tým →