Cosa Sophos ha capito bene sul ransomware nel 2025 — e la domanda sui backup che nessuno si sta ponendo

Un numero silenzioso che dovrebbe far scattare l'allarme

Ogni anno, Sophos pubblica il suo report State of Ransomware, basato su un sondaggio vendor-agnostic condotto su migliaia di leader IT e della cybersecurity. L'edizione 2025 ha coinvolto 3.400 rispondenti in 17 paesi, di cui 1.733 provenienti da organizzazioni enterprise (1.000+ dipendenti). I risultati principali sono di per sé notevoli: i tassi di crittografia dei dati sono in calo, il ripristino è più rapido e un numero crescente di organizzazioni rifiuta di pagare il riscatto.

Ma nascosto all'interno dei dati enterprise c'è un numero che dovrebbe essere scritto sulla lavagna di ogni CISO:

L'uso dei backup per il ripristino dagli attacchi ransomware è sceso dal 73% nel 2024 al 53% nel 2025 — il livello più basso degli ultimi quattro anni.

Rileggetelo. Nell'anno in cui i difensori sarebbero diventati più bravi a fermare il ransomware, sono diventati misurabilmente meno capaci di affidarsi ai propri backup per il ripristino.

Non si tratta di una nota marginale. È il dato più strategicamente rilevante dell'intero dataset Sophos — e quasi nessuno ne sta parlando.

In BackupSec, interpretiamo il report Sophos 2025 in modo diverso rispetto alla maggior parte delle sintesi degli analisti. I numeri principali raccontano una storia; i dati operativi sottostanti ne raccontano un'altra. Questo articolo analizza ciò che, a nostro avviso, il report rivela realmente sulla resilienza al ransomware moderno — e perché la fiducia nei backup sia silenziosamente diventata la metrica più importante nella cyber defense enterprise.

La narrazione di superficie: la difesa sta vincendo

Cominciamo dalle buone notizie, perché in effetti ce ne sono.

Secondo Sophos:

• I tassi di crittografia dei dati sono scesi al 50% a livello globale — il livello più basso nei sei anni di storia del report, in calo rispetto al 70% dell'anno precedente.
• Nelle organizzazioni enterprise, i tassi di crittografia sono scesi al 49%, rispetto al 66% del 2024.
• La percentuale di attacchi fermati prima della crittografia è più che raddoppiata in due anni — dal 22% nel 2023 al 47% nel 2025.
• Il costo medio del ripristino è sceso da 2,73 milioni di dollari a 1,53 milioni di dollari a livello globale.
• Il pagamento mediano del riscatto è diminuito del 50% — da 2 milioni di dollari nel 2024 a 1 milione di dollari nel 2025.
• Il 53% delle organizzazioni ha completato il ripristino entro una settimana, un forte aumento rispetto al 35% dell'anno precedente.

Se si leggessero solo questi numeri, si potrebbe concludere che il settore ha svoltato. L'EDR sta maturando. I tempi di rilevamento si stanno riducendo. La negoziazione sta diventando più sofisticata. Le compagnie assicurative stanno spingendo con maggiore forza su controlli minimi. Tutto vero.

Ma poi si arriva ai dati sul ripristino — e la storia smette di avere senso.

La contraddizione che rivela tutto

Ecco il dato che smonta la narrazione ottimistica:

Tra le organizzazioni enterprise colpite dal ransomware nel 2025, solo il 53% ha usato i backup per ripristinare i dati crittografati. L'anno precedente, questo numero era il 73%. Nel frattempo, il 48% delle enterprise ha comunque pagato il riscatto — un dato sostanzialmente stabile rispetto agli anni precedenti.

In altre parole: la crittografia si verifica meno spesso, ma quando accade, un numero minore di organizzazioni si fida dei propri backup per uscirne. Preferiscono invece aprire il portafoglio.

La stessa analisi di Sophos descrive questo fenomeno come una "ridotta fiducia nelle capacità di ripristino dei backup". È un modo educato per dire qualcosa di più netto:

L'infrastruttura di backup che alle enterprise era stato detto le avrebbe protette, negli incidenti reali, non sta mantenendo le promesse.

Questa è la contraddizione al centro del report 2025. I difensori stanno migliorando nel fermare gli attacchi in una fase precoce. Ma nel momento in cui un attacco ha effettivamente successo e i dati vengono crittografati, il livello di ripristino che dovrebbe fungere da rete di sicurezza viene sempre più spesso aggirato a favore del pagamento dei criminali.

Non è una storia sul ransomware che diventa più difficile da contrastare. È una storia sull'architettura di backup che viene messa a nudo.

Perché i backup falliscono nel momento della verità?

Il report Sophos non risponde direttamente a questa domanda, ma i dati che la circondano si collegano in un quadro coerente. Da un punto di vista architetturale, tre schemi ricorrenti spiegano il crollo della fiducia nei backup.

Schema 1: i backup vengono compromessi insieme alla produzione

Il report 2025 mostra che il 75% degli attacchi ransomware coinvolge ormai l'esfiltrazione dei dati prima della crittografia. Questo significa che i threat actor moderni trascorrono giorni o settimane all'interno della rete, identificando e accedendo a sistemi critici — inclusa l'infrastruttura di backup — prima ancora di distribuire il payload di crittografia.

Negli interventi di incident response che osserviamo nel settore, questo dwell time viene costantemente utilizzato per fare una cosa precisa: individuare il repository di backup, sottrarne le credenziali e poi crittografarlo, corromperlo o eliminarne le policy di retention poche ore prima che il payload venga attivato in produzione.

Se il vostro sistema di backup condivide un dominio, un identity provider o un set di credenziali con l'ambiente di produzione, non si tratta di un livello di ripristino. È il secondo bersaglio nella kill chain.

Schema 2: il "successo del backup" non equivale al "successo del ripristino"

I dati di Sophos mostrano chiaramente il costo umano: tutti i rispondenti appartenenti a organizzazioni che hanno subito la crittografia dei dati hanno riferito che i propri team IT/cybersecurity sono stati impattati in qualche modo. Aumento dello stress (40% dei rispondenti enterprise), maggiore pressione da parte del senior management (41%) e cambi ai vertici a seguito dell'incidente sono stati tutti esiti comuni.

Uno schema che ricorre in queste storie è che il team scopre, nel mezzo dell'incidente, che i backup gestiti da anni non possono in realtà essere ripristinati con la velocità o la completezza richieste dal business. I log dei job dicono "successo". Il ripristino racconta una storia diversa.

Questa è esattamente la modalità di guasto che lo "0" nella regola 3-2-1-1-0 è stato pensato per affrontare: zero errori nella verifica dei backup. Ma la verifica è qualcosa che la maggior parte delle organizzazioni afferma di fare e che pochissime fanno realmente in modo continuativo, su larga scala, rispetto agli scenari di ripristino effettivi che dovranno affrontare in un incidente reale.

Schema 3: il livello organizzativo è l'anello più debole

Per la prima volta nel 2025, Sophos ha chiesto ai rispondenti quali fattori organizzativi avessero contribuito a renderli bersaglio dell'attacco. I risultati sono sorprendenti:

• Il 40,2% ha indicato la "mancanza di competenze" — abilità o conoscenze insufficienti per rilevare e fermare l'attacco in tempo.
• Il 40,1% ha indicato "lacune di sicurezza sconosciute" — punti deboli nelle difese di cui non erano a conoscenza.
• I rispondenti hanno identificato in media 2,7 fattori concorrenti per incidente.

Traducendo dal linguaggio del sondaggio: i team di sicurezza enterprise sanno di essere sottodimensionati, sanno di avere punti ciechi e sanno che la complessità ha superato la loro capacità di gestirla. L'infrastruttura di backup — tipicamente il livello meno amato e meno modernizzato dello stack enterprise — si trova esattamente all'intersezione di queste tre debolezze.

Quando le persone che gestiscono l'ambiente di backup sono le stesse che si occupano di incident response, patching, identity e una dozzina di altre priorità, il livello di backup non riceve l'attenzione architetturale di cui ha bisogno. E così, quando gli viene chiesto di funzionare durante un incidente, non lo fa.

Cosa aggiungono al quadro i report specifici per settore

Sophos ha pubblicato diverse analisi settoriali dei dati 2025, e ciascuna aggiunge sfumature degne di attenzione.

Nel manifatturiero, i tassi di crittografia sono scesi al 40%, il livello più basso degli ultimi cinque anni, ma il riscatto mediano pagato ha comunque raggiunto 1 milione di dollari, e il 47% delle aziende manifatturiere ha segnalato un aumento dello stress del team dopo un incidente. La dipendenza del settore dalla continuità operativa — dove pochi minuti di downtime si ripercuotono sull'intera supply chain — rende la fiducia nel ripristino una questione di importanza esistenziale.

Nel retail, il 46% degli incidenti è stato ricondotto a una lacuna di sicurezza sconosciuta, e il 58% delle organizzazioni con dati crittografati ha pagato il riscatto — il secondo tasso di pagamento più alto degli ultimi cinque anni. Le richieste mediane di riscatto nel retail sono raddoppiate, arrivando a 2 milioni di dollari.

Lo schema tra i settori è coerente: le organizzazioni stanno migliorando nel fermare gli attacchi. Non stanno migliorando in proporzione nel ripristinare i dati dopo un attacco. Il divario tra la maturità della prevenzione e quella del ripristino si sta allargando — ed è proprio in questo divario che vivono i pagamenti dei riscatti.

Cosa raccomanda il report Sophos (e cosa tralascia)

Le raccomandazioni di Sophos si concentrano su quattro aree: prevenzione, protezione, rilevamento e risposta. Sono raccomandazioni sensate e ben supportate dai dati. Nello specifico, il report raccomanda di:

• Eliminare le cause profonde tecniche e operative più comuni (vulnerabilità sfruttate, controlli di identity deboli).
• Rafforzare la sicurezza di base con configurazioni hardened, MFA e disciplina nel patching.
• Investire nelle capacità di Managed Detection and Response (MDR).
• Predisporre piani dettagliati di incident response.

Tutto corretto. Tutto necessario. Ma c'è un quinto pilastro che il report non mette al centro, e i numeri 2025 sull'uso dei backup sono la ragione per cui dovrebbe farlo:

L'architettura di ripristino stessa deve essere modernizzata — non solo difesa.

Un ambiente di backup progettato per riprendersi da guasti hardware ed eliminazioni accidentali non è la stessa cosa di un ambiente di backup progettato per riprendersi da un avversario determinato che è stato all'interno della rete per due settimane. Il primo è un problema di ridondanza. Il secondo è un problema architetturale. E i dati mostrano che la maggior parte degli ambienti di backup enterprise opera ancora secondo la prima logica.

Il gap di fiducia nei backup: cosa misurare invece

Se dovete portare via un solo cambiamento operativo dal report Sophos 2025, che sia questo: smettete di misurare il tasso di successo dei backup e iniziate a misurare la fiducia nei backup.

Il tasso di successo dei backup è la metrica che il vostro software di backup vi fornisce gratuitamente. Dice: "Il job è stato completato?". Questa metrica oggi non ha più alcun significato come indicatore di ripristino. I threat actor lo sanno, i difensori lo stanno imparando lentamente, e il divario tra ciò che mostra la dashboard e ciò che un incidente realmente produce è esattamente il punto da cui nasce il calo di 20 punti nel ripristino basato su backup.

La fiducia nei backup è una metrica diversa. Si chiede:

• Siamo in grado di ripristinare i sistemi tier-one da storage immutabile entro l'RTO dichiarato, oggi, in condizioni ostili?
• Le nostre procedure di ripristino funzionano quando gli identity provider di produzione sono compromessi?
• Abbiamo verificato che le nostre policy di retention non possano essere modificate da nessuna credenziale di livello produzione?
• Monitoriamo la telemetria del sistema di backup per individuare comportamenti avversari — non solo il completamento dei job?
• Quando al team IR viene chiesto "dobbiamo pagare?" — qual è la base tecnica per la risposta?

Queste domande hanno delle risposte. La maggior parte delle enterprise oggi non sa quali siano le proprie, e i dati Sophos sono la conseguenza di questa incertezza che si manifesta su larga scala.

Cosa ricaviamo dai dati Sophos 2025

Leggendo attentamente il report completo, la storia che vediamo non è quella raccontata dalla maggior parte delle sintesi. È questa:

Il settore è diventato significativamente più bravo a impedire che il ransomware arrivi a distribuire il proprio payload completo. Si tratta di un miglioramento reale e importante, che merita di essere riconosciuto.

Ma il livello di ripristino — la promessa architetturale secondo cui le organizzazioni non avrebbero mai dovuto pagare un riscatto perché avrebbero potuto ripristinare da backup puliti — viene silenziosamente svuotato dall'interno. Il calo di 20 punti nel ripristino basato su backup è il fumo. Il divario architetturale sottostante è il fuoco.

Per le enterprise che operano in settori regolamentati, gestiscono infrastrutture ibride complesse, o semplicemente non sono disposte a finanziare la prossima campagna ransomware con le proprie risorse, questa è la conversazione prioritaria per il 2026. Non "abbiamo dei backup?" — ogni organizzazione nel sondaggio Sophos aveva dei backup. La domanda è: la nostra architettura di backup sopravvive a un avversario reale, e siamo in grado di dimostrarlo prima di averne bisogno?

Come BackupSec affronta il gap di fiducia

In BackupSec, abbiamo costruito il nostro servizio sul presupposto che gli ambienti di backup debbano essere osservabili, supportati da consulenza esperta e dimostrabili in condizioni avversarie — non solo operativi in condizioni nominali. Ogni elemento del nostro approccio corrisponde alle criticità che i dati Sophos mettono in luce:

• ZeroMON — la nostra piattaforma di observability — fornisce un monitoraggio continuo delle operazioni di backup e dei segnali di sicurezza: tracciamento dei job in tempo reale, alert di configuration drift, audit trail forensi, analisi della capacità e visibilità Veeam-ready. Questo è il livello che intercetta i fallimenti silenziosi dei backup suggeriti dai dati Sophos. È la risposta operativa alla domanda "i nostri backup stanno davvero facendo ciò che la dashboard dice che stanno facendo?"
• ZeroTAM — il nostro servizio di consulenza esperta — fornisce ai team enterprise un advisor dedicato alla sicurezza dei backup per revisioni architetturali, pianificazione del ripristino da ransomware, strategia di capacità e gestione delle crisi. Questo è il livello umano che risponde al dato sulla "mancanza di competenze" citato dal 40,2% dei rispondenti Sophos — senza ticket di supporto a rotazione o indicazioni generiche.
• ZeroPEN — il nostro servizio di penetration testing sui backup e validazione del ripristino — affronta direttamente il gap del 53% nell'uso dei backup. Sottoponiamo a pentest i piani di gestione dei vostri backup, i controlli di accesso, le impostazioni di immutabilità e la postura di isolamento, esattamente come farebbe un avversario reale. Eseguiamo poi scenari di ripristino reali rispetto ai vostri target di RTO/RPO e verifichiamo che i dati ripristinati siano puliti, completi e privi di persistenza dell'attaccante. Il risultato non è un elenco di findings — è una prova documentata che il ripristino funziona.

BackupSec viene distribuito on-premise. Ci colleghiamo tramite accesso API in sola lettura (read-only). I vostri dati di backup, la telemetria e i dettagli di configurazione non lasciano mai il vostro ambiente. Non sostituiamo la vostra piattaforma di backup — rendiamo quella che già utilizzate osservabile, supportata da consulenza esperta e dimostrabile.

Il tasso del 53% nell'uso dei backup registrato nei dati enterprise di Sophos non è un destino ineluttabile. È la conseguenza di un'epoca architetturale che sta finendo. Le organizzazioni che colmeranno il gap di fiducia nei prossimi dodici mesi saranno quelle che smetteranno di comparire nella colonna "ha pagato il riscatto" del report dell'anno prossimo.

Parla con BackupSec per validare la tua capacità di ripristino →

Questa analisi si basa sul report Sophos State of Ransomware 2025 e sulle relative pubblicazioni settoriali. L'interpretazione e il framework qui presentati sono elaborazioni proprie di BackupSec. Per discutere di come i risultati del 2025 si applicano al vostro ambiente specifico, contatta il nostro team →