Un numero passato in sordina che dovrebbe far scattare l'allarme
Ogni anno Sophos pubblica il suo report State of Ransomware, basato su quella che descrive come un'indagine indipendente e vendor-agnostic tra i responsabili IT e di cybersecurity le cui organizzazioni sono state colpite da ransomware. L'edizione 2025, pubblicata a giugno 2025, copre 3.400 rispondenti in 17 paesi, da organizzazioni con 100–5.000 dipendenti. A dicembre 2025 Sophos ha pubblicato un'analisi separata, The State of Ransomware in Enterprise 2025, dedicata ai 1.733 rispondenti di aziende con 1.000–5.000 dipendenti. Sophos intitola ciascun report all'anno dell'indagine (gennaio–marzo 2025), per cui molti degli attacchi descritti sono avvenuti nel 2024.
I risultati principali sono incoraggianti: i tassi di cifratura dei dati sono in calo, il ripristino è più rapido e meno vittime pagano il riscatto.
Ma il report enterprise contiene un numero che dovrebbe stare sulla lavagna di ogni CISO:
Tra le aziende i cui dati sono stati cifrati, la quota che ha usato i backup per ripristinarli è scesa dal 73% nel 2024 al 53% nel 2025. Sophos lo definisce il minimo degli ultimi quattro anni.
Rileggetelo. Nell'anno in cui i difensori sono diventati più bravi a fermare il ransomware prima della cifratura, le aziende che la cifratura l'hanno subita avevano una probabilità misurabilmente minore di ripristinare dai propri backup.
Non è una nota a margine di poco conto. Riteniamo che sia il risultato strategicamente più importante dei dati Sophos. I numeri principali raccontano una storia; i dati sul ripristino ne raccontano un'altra. Questo articolo illustra ciò che, a nostro avviso, i dati rivelano sulla resilienza al ransomware e perché la fiducia nei backup è diventata la metrica che conta di più.
La narrazione di superficie: la difesa sta vincendo
Partiamo dalle buone notizie, perché ce ne sono davvero.
Sull'insieme dei 3.400 rispondenti del report principale 2025:
- La cifratura dei dati è scesa al 50% degli attacchi, dal 70% del 2024, il tasso più basso nei sei anni dello studio.
- Il costo medio (media aritmetica) di ripristino, escluso il riscatto, è sceso da 2,73 a 1,53 milioni di dollari.
- Il pagamento di riscatto mediano è calato del 50%, da 2 milioni di dollari nel 2024 a 1 milione di dollari nel 2025.
- Il 53% delle vittime si è ripreso completamente entro una settimana, contro il 35% del 2024.
- Il 49% delle vittime con dati cifrati ha pagato il riscatto, contro il 56% del 2024.
Tra le aziende enterprise, secondo il report enterprise:
- La cifratura dei dati è scesa al 49% degli attacchi, dal 66% del 2024.
- La quota di attacchi fermati prima della cifratura è più che raddoppiata in due anni, dal 22% del 2023 al 47% del 2025.
Sophos interpreta il calo della cifratura come un segno che le organizzazioni "are more capable of stopping attacks before the encrypted payload is deployed" (sono più capaci di fermare gli attacchi prima che venga distribuito il payload di cifratura), e il ripristino più rapido come un possibile segno di investimenti in "cyber incident preparation and recovery readiness" (preparazione agli incidenti cyber e prontezza al ripristino). Presi da soli, questi numeri dicono che il settore ha girato pagina.
Poi si arriva ai dati sul ripristino.
La contraddizione che rivela tutto
Ecco il dato che complica la narrazione ottimistica.
Tra le aziende i cui dati sono stati cifrati, il 53% ha usato i backup per ripristinarli, contro il 73% dell'anno precedente. Nello stesso periodo, il 48% ha pagato il riscatto per riavere i dati, contro il 55% (report enterprise). Entrambe le strade si sono ridotte. Quasi un terzo (30%) delle aziende con dati cifrati ha dichiarato di aver usato altri mezzi, che secondo Sophos potrebbero includere "restoration from shadow copies, utilizing endpoint protection rollback features or recovering data from unaffected systems" (il ripristino da shadow copy, l'uso delle funzioni di rollback della protezione endpoint o il recupero dei dati da sistemi non colpiti).
Nel 2024 i backup superavano il pagamento del riscatto di 18 punti (73% contro 55%). Nel 2025 il vantaggio era di 5 punti (53% contro 48%). Meno aziende pagano, ed è una buona notizia. Ma il livello di ripristino che avrebbe dovuto rendere superfluo il pagamento sta sostenendo meno carico, non di più.
La sintesi di Sophos stessa è diretta: "Collectively, these findings point to stronger resistance to demands together with weaknesses and lack of backup resilience" (nel complesso, questi risultati indicano una maggiore resistenza alle richieste insieme a debolezze e a una mancanza di resilienza dei backup).
Debolezze e mancanza di resilienza dei backup: è questa la parte che ci interessa. I difensori stanno diventando più bravi a fermare gli attacchi in anticipo. Ma quando un attacco riesce e i dati vengono cifrati, i backup che dovrebbero fare da rete di sicurezza vengono usati meno spesso.
Non è una storia di ransomware diventato più difficile. È una storia di architetture di backup messe a nudo.
Perché i backup falliscono nel momento della verità?
I report di Sophos non dicono perché l'uso dei backup sia calato. L'indagine registra come sono stati recuperati i dati, non perché i backup siano stati usati o meno. I tre schemi che seguono sono una nostra interpretazione, supportata dai dati Sophos dove esistono.
Schema 1: i backup vengono compromessi insieme alla produzione
Gli attaccanti prendono di mira i backup deliberatamente. Nello studio Sophos del 2024 sui backup compromessi, il 94% delle organizzazioni colpite da ransomware ha dichiarato che gli attaccanti avevano tentato di compromettere i loro backup, e il 57% di quei tentativi è riuscito. Le organizzazioni con backup compromessi avevano una probabilità quasi doppia di pagare il riscatto (67% contro 36%) e un costo di ripristino mediano otto volte più alto (3 milioni di dollari contro 375.000).
Il furto di dati aumenta la pressione. Nel report enterprise, il 30% delle aziende con dati cifrati ha subito anche il furto di dati (il 15% di tutte le vittime enterprise). Un restore pulito non può nulla contro dati che hanno già lasciato l'azienda.
Se il vostro sistema di backup condivide un dominio, un identity provider o un set di credenziali con l'ambiente di produzione, non è un livello di ripristino separato. È il bersaglio successivo nella stessa kill chain.
Schema 2: "backup riuscito" non equivale a "restore riuscito"
I dati enterprise contengono un segnale diretto. Delle 72 aziende che hanno pagato più della richiesta di riscatto iniziale, il 42% ha indicato questo motivo: "Our backups failed or were malfunctioning" (i nostri backup non hanno funzionato o erano malfunzionanti) (report enterprise). Il gruppo è piccolo, ma si tratta di vittime enterprise che dicono chiaramente che i loro backup non hanno retto.
Anche il costo umano è evidente. Tutte le aziende con dati cifrati hanno riportato ripercussioni sul proprio team IT/cybersecurity: il 40% ha segnalato una maggiore pressione da parte del top management, il 39% un aumento dell'ansia o dello stress per futuri attacchi e nel 27% dei casi la guida del team è stata sostituita.
Un log di job che dice "success" vi dice che il backup è stato eseguito. Non vi dice che il restore funzionerà con la velocità o la completezza di cui l'azienda ha bisogno.
È questa la modalità di guasto a cui risponde lo "0" della regola 3-2-1-1-0. La guida alle best practice di sicurezza di Veeam lo definisce come "0 errors" (zero errori) nella verifica automatica della ripristinabilità di ogni backup con SureBackup. Un job completato non è un restore verificato, e la verifica conta solo se mette alla prova gli scenari di ripristino che affrontereste in un incidente reale.
Schema 3: il livello organizzativo è l'anello più debole
Per la prima volta, nel 2025 Sophos ha chiesto alle vittime quali fattori organizzativi le avessero lasciate esposte. Sull'insieme dei 3.400 rispondenti del report principale:
- Il 40,2% ha indicato una mancanza di competenze: non avere le capacità o le conoscenze per rilevare e fermare l'attacco in tempo.
- Il 40,1% ha indicato lacune di sicurezza sconosciute: debolezze nelle proprie difese di cui non era consapevole.
- Il 39,4% ha indicato una carenza di personale o di capacità.
- I rispondenti hanno indicato in media 2,7 fattori concomitanti.
L'analisi enterprise è quasi identica: una lacuna di sicurezza sconosciuta (40%), una carenza di personale o di capacità (39,2%) e una mancanza di competenze (38,9%) sono in cima alla lista, con tre fattori indicati in media.
In parole semplici: i team di sicurezza sono a corto di persone e competenze e hanno punti ciechi che non riescono a vedere. Sosterremmo che l'infrastruttura di backup si trova proprio dove queste tre debolezze si incontrano. Quando le persone che la gestiscono si occupano anche di incident response, patching e identità, raramente riceve attenzione architetturale finché un incidente non le chiede di dare risultati.
Cosa aggiungono i report di settore
Sophos ha pubblicato anche analisi per settore dell'indagine 2025.
Nel manifatturiero e produzione (332 rispondenti), il tasso di cifratura è sceso al 40%, il più basso in cinque anni, e il pagamento di riscatto mediano è stato di 1 milione di dollari, contro 1,2 milioni. Il 47% ha segnalato un aumento dell'ansia o dello stress per futuri attacchi nel team IT/cybersecurity. L'uso dei backup è rimasto stabile al 58%.
Nel retail (361 rispondenti in 16 paesi), il tasso di cifratura è sceso al 48%, anch'esso il minimo in cinque anni. Una lacuna di sicurezza sconosciuta è stata il fattore operativo più comune, indicato dal 46% delle vittime. Il 58% dei retailer con dati cifrati ha pagato il riscatto, un dato che Sophos definisce "the second highest ransom payment rate in five years" (il secondo tasso di pagamento del riscatto più alto in cinque anni). La richiesta di riscatto mediana è raddoppiata da 1 a 2 milioni di dollari e l'uso dei backup è sceso al 62%, il minimo in quattro anni.
Il quadro settoriale è eterogeneo: nel retail l'uso dei backup è calato, nel manifatturiero ha tenuto. Ciò che i report di settore hanno in comune con i dati enterprise è che la prevenzione migliora più velocemente del ripristino basato sui backup. I tassi di cifratura sono scesi in entrambi i settori, mentre l'uso dei backup è calato o è rimasto fermo. Quel divario tra maturità della prevenzione e maturità del ripristino è, a nostro avviso, il terreno su cui prosperano i pagamenti dei riscatti.
Cosa raccomanda il report Sophos (e dove metteremmo più peso)
Il report principale e quello enterprise si chiudono con le stesse quattro raccomandazioni:
- Prevenzione: eliminare le cause principali tecniche e operative individuate dal report.
- Protezione: solide fondamenta di sicurezza, con endpoint (server compresi) ben difesi, inclusa una protezione anti-ransomware dedicata in grado di fermare e annullare la cifratura malevola.
- Rilevamento e risposta: rilevamento e risposta alle minacce 24 ore su 24, tramite un provider di managed detection and response (MDR) se non si dispone internamente delle risorse o delle competenze.
- Pianificazione e preparazione: un piano di incident response che si sa mettere in atto con padronanza, più backup di qualità e pratica regolare nel ripristinare i dati da essi.
Tutto corretto. I backup ci sono, in una frase sotto pianificazione e preparazione. Visti i numeri sui backup enterprise, daremmo al ripristino più peso di così:
L'architettura di ripristino stessa va modernizzata, non solo difesa.
Un ambiente di backup progettato per riprendersi da guasti hardware e cancellazioni accidentali non è lo stesso di uno progettato per riprendersi da un avversario che è già all'interno della rete e prende di mira per primi i backup. Il primo è un problema di ridondanza. Il secondo è un problema architetturale. Esercitarsi con i restore è necessario, ma non serve se l'attaccante può raggiungere i backup con cui vi siete esercitati.
Il divario di fiducia nei backup: cosa misurare invece
Se dai dati Sophos 2025 portate a casa un solo cambiamento operativo, che sia questo: smettete di trattare il tasso di successo dei backup come metrica di ripristino e iniziate a misurare la fiducia nei backup.
Il tasso di successo dei backup è la metrica che il software di backup vi fornisce gratuitamente. Risponde a una sola domanda: il job è stato completato? Da solo, non è un indicatore di ripristino. Pensiamo che il divario tra ciò che mostra la dashboard e ciò che produce un incidente sia parte di ciò che riflette il calo di 20 punti nel ripristino basato sui backup.
La fiducia nei backup pone domande diverse:
- Possiamo ripristinare oggi i sistemi tier-one dallo storage immutabile entro l'RTO dichiarato, in condizioni ostili?
- Le nostre procedure di ripristino funzionano quando gli identity provider di produzione sono compromessi?
- Abbiamo verificato che le nostre policy di retention non possano essere modificate da alcuna credenziale del livello di produzione?
- Monitoriamo la telemetria del sistema di backup alla ricerca di comportamenti avversari, e non solo del completamento dei job?
- Quando al team di IR viene chiesto "dobbiamo pagare?", qual è la base tecnica della risposta?
Queste domande hanno una risposta. Molte aziende non conoscono ancora la propria.
Cosa ricaviamo dai dati Sophos 2025
Leggendo i report per intero, la storia che vediamo è questa.
Le organizzazioni sono diventate sensibilmente più brave a fermare il ransomware prima che cifri i dati. È un miglioramento reale e merita di essere riconosciuto.
Ma il livello di ripristino, la promessa che le organizzazioni non avrebbero mai dovuto pagare perché avrebbero potuto ripristinare da backup puliti, sta sostenendo meno carico. Nei dati enterprise, il calo di 20 punti nel ripristino basato sui backup è il fumo. Pensiamo che il divario architetturale sottostante sia il fuoco.
Per le aziende dei settori regolamentati, per quelle che gestiscono ambienti ibridi complessi o semplicemente per quelle che non vogliono finanziare la prossima campagna ransomware, questa è la conversazione da affrontare adesso. La domanda non è "abbiamo i backup?". È questa: la nostra architettura di backup sopravvive a un avversario reale, e possiamo dimostrarlo prima che serva?
Come BackupSec affronta il divario di fiducia
In BackupSec partiamo dalla premessa che gli ambienti di backup devono essere osservabili e testati in condizioni ostili, non solo operativi in condizioni normali. Tre dei nostri servizi corrispondono ai fallimenti descritti sopra:
- ZeroMON monitora Veeam Backup & Replication: stato di salute dei job, drift di configurazione con una traccia Forensic & Audit di chi ha cambiato cosa e quando, una checklist del Security Analyzer, report e un honeypot sull'appliance di monitoraggio. Mostra lo stato di immutabilità così come lo riportano le impostazioni dei repository di Veeam stesso; legge la configurazione di Veeam e non verifica i lock a livello di oggetto sullo storage. Gli alert vengono inviati via email e tramite notifica in-app. ZeroMON si installa on-premises come OVA e si connette con un account in sola lettura, e nulla di ciò che raccoglie viene inviato a BackupSec né a terze parti.
- ZeroTAM mette a disposizione del vostro team un advisor dedicato alla sicurezza dei backup per revisioni dell'architettura, pianificazione del ripristino da ransomware, capacity planning e supporto prioritario in caso di crisi. È un servizio di consulenza, non un software, e risponde direttamente ai risultati sulla mancanza di competenze e di capacità descritti sopra.
- ZeroPEN è un penetration test guidato dalle minacce su Veeam Backup & Replication, Veeam ONE ed Enterprise Manager. Simula una kill chain ransomware mappata su MITRE ATT&CK in otto fasi: accesso iniziale, discovery e inventario, abuso di credenziali, compromissione del server Veeam, accesso ai repository, neutralizzazione dei backup, simulazione di esfiltrazione e prova della capacità di cifratura. Non è distruttivo: ZeroPEN "never deletes real backups, performs real encryption, or stops production or backup services" (non elimina mai backup reali, non esegue cifrature reali e non arresta servizi di produzione o di backup). L'engagement include anche la verifica dell'integrità del ripristino e dell'immutabilità e si conclude con un pacchetto di report pronto per l'audit e un retest per le criticità gravi.
Non sostituiamo la vostra piattaforma di backup. Vi aiutiamo a vedere e a testare quella che già usate.
Il 53% dei dati enterprise di Sophos non è un destino. A nostro avviso riflette architetture di backup costruite per una minaccia diversa.
Parlate con BackupSec della sicurezza dei vostri backup →
Questa analisi si basa sul report State of Ransomware 2025 di Sophos, sul suo report State of Ransomware in Enterprise 2025 e sui suoi report di settore 2025. L'interpretazione è di BackupSec. Nel frattempo Sophos ha pubblicato The State of Ransomware 2026; questo articolo tratta i dati 2025. Per capire come questi risultati si applicano al vostro ambiente, contattate il nostro team →