Een stil cijfer dat alarmbellen zou moeten doen afgaan
Elk jaar publiceert Sophos zijn State of Ransomware-rapport, gebaseerd op een leveranciersonafhankelijk onderzoek onder duizenden IT- en cybersecurityleiders. De editie van 2025 ondervroeg 3.400 respondenten in 17 landen, onder wie 1.733 afkomstig van enterprise-organisaties (1.000+ medewerkers). De belangrijkste bevindingen lezen als een positief verhaal: de percentages waarbij data wordt versleuteld dalen, herstel gaat sneller, en meer organisaties weigeren het losgeld te betalen.
Maar verstopt in de enterprise-data zit een cijfer dat op het whiteboard van elke CISO zou moeten staan:
Het gebruik van back-ups om te herstellen van ransomware-aanvallen daalde van 73% in 2024 naar 53% in 2025 — het laagste niveau in vier jaar.
Lees dat nog eens. In het jaar waarin verdedigers zogenaamd beter werden in het stoppen van ransomware, werden ze meetbaar slechter in het vertrouwen op hun eigen back-ups om ervan te herstellen.
Dit is geen kleine voetnoot. Het is de strategisch belangrijkste bevinding in de hele Sophos-dataset — en bijna niemand heeft het erover.
Bij BackupSec lezen we het Sophos-rapport van 2025 anders dan de meeste analistensamenvattingen. De hoofdcijfers vertellen één verhaal; de onderliggende operationele data vertelt een ander verhaal. Dit artikel loopt door wat het rapport volgens ons daadwerkelijk onthult over moderne ransomware-veerkracht — en waarom back-upvertrouwen in stilte de belangrijkste metric in enterprise-cyberdefensie is geworden.
Het oppervlakkige verhaal: verdediging wint
Laten we beginnen met het goede nieuws, want dat is er oprecht.
Volgens Sophos:
- De wereldwijde versleutelingsgraad daalde naar 50% — het laagste niveau in de zesjarige geschiedenis van het rapport, tegenover 70% een jaar eerder.
- Bij enterprise-organisaties daalde de versleutelingsgraad naar slechts 49%, tegenover 66% in 2024.
- Het percentage aanvallen dat werd gestopt vóór versleuteling meer dan verdubbelde in twee jaar tijd — van 22% in 2023 naar 47% in 2025.
- De gemiddelde herstelkosten daalden wereldwijd van $2,73 miljoen naar $1,53 miljoen.
- De mediane losgeldbetaling daalde met 50% — van $2 miljoen in 2024 naar $1 miljoen in 2025.
- 53% van de organisaties herstelde volledig binnen één week, een scherpe stijging ten opzichte van 35% een jaar eerder.
Als u alleen deze cijfers leest, zou u concluderen dat de sector een kentering heeft doorgemaakt. EDR wordt volwassener. Detectietijden dalen. Onderhandelen wordt geraffineerder. Verzekeraars dringen harder aan op minimale beheersmaatregelen. Allemaal waar.
Maar dan komt u bij de herstelcijfers — en klopt het verhaal ineens niet meer.
De tegenstrijdigheid die alles onthult
Hier is het gegeven dat het optimistische verhaal onderuithaalt:
Bij enterprise-organisaties die in 2025 werden getroffen door ransomware, gebruikte slechts 53% back-ups om hun versleutelde data te herstellen. Dat cijfer lag een jaar eerder nog op 73%. Tegelijkertijd betaalde 48% van de enterprises alsnog het losgeld — grotendeels vlak ten opzichte van voorgaande jaren.
Met andere woorden: versleuteling gebeurt minder vaak, maar wanneer het gebeurt, vertrouwen minder organisaties op hun back-ups om eruit te komen. Ze grijpen in plaats daarvan naar de portemonnee.
Sophos' eigen analyse noemt dit 'verminderd vertrouwen in de herstelmogelijkheden van back-ups.' Dat is een beleefde manier om iets scherpers te zeggen:
De back-upinfrastructuur waarvan enterprises te horen kregen dat die hen zou beschermen, schiet in echte incidenten tekort.
Dit is de tegenstrijdigheid in de kern van het rapport van 2025. Verdedigers worden beter in het vroegtijdig stoppen van aanvallen. Maar op het moment dat een aanval daadwerkelijk slaagt en data wordt versleuteld, wordt de herstellaag die het vangnet zou moeten zijn, steeds vaker overgeslagen ten gunste van het betalen van criminelen.
Dat is geen verhaal over ransomware die moeilijker wordt. Dat is een verhaal over back-uparchitectuur die wordt blootgelegd.
Waarom falen back-ups op het moment van de waarheid?
Het Sophos-rapport beantwoordt deze vraag niet rechtstreeks, maar de omringende datapunten vormen samen een coherent beeld. Vanuit architectonisch oogpunt verklaren drie patronen de ineenstorting van het back-upvertrouwen.
Patroon 1: back-ups worden samen met productie gecompromitteerd
Het rapport van 2025 laat zien dat bij 75% van de ransomware-aanvallen inmiddels data-exfiltratie plaatsvindt vóór versleuteling. Dat betekent dat moderne threat actors dagen of weken in het netwerk doorbrengen, waarbij ze kritieke systemen — inclusief back-upinfrastructuur — identificeren en benaderen voordat ze ooit de versleutelingspayload inzetten.
Bij incident-response-trajecten die wij in de sector waarnemen, wordt deze dwell time consequent gebruikt voor één specifiek doel: het back-uprepository lokaliseren, de bijbehorende credentials buitmaken, en het vervolgens versleutelen, corrumperen of de retentiebeleidsregels verwijderen, uren voordat de productiepayload tot ontploffing komt.
Als uw back-upsysteem een domein, een identity provider of een set credentials deelt met uw productieomgeving, is het geen herstellaag. Het is het tweede doelwit in de kill chain.
Patroon 2: 'back-up geslaagd' is niet hetzelfde als 'herstel geslaagd'
De data van Sophos laat de menselijke tol duidelijk zien: alle respondenten bij organisaties waar data was versleuteld, gaven aan dat hun IT/cybersecurityteams op de een of andere manier waren getroffen. Verhoogde stress (40% van de enterprise-respondenten), toegenomen druk vanuit het senior management (41%) en leiderschapswisselingen na het incident kwamen allemaal vaak voor.
Een patroon dat in deze verhalen terugkeert, is dat het team midden in het incident ontdekt dat de back-ups die ze al jaren beheren, niet met de snelheid of volledigheid kunnen worden hersteld die het bedrijf vereist. De joblogs zeggen 'geslaagd'. Het herstel vertelt een ander verhaal.
Dit is precies het faalmechanisme waarvoor de '0' in de 3-2-1-1-0-regel is bedoeld: nul fouten bij back-upverificatie. Maar verificatie is iets wat de meeste organisaties beweren te doen en dat maar weinigen continu, op schaal, uitvoeren tegen de daadwerkelijke herstelscenario's waarmee ze bij een echt incident te maken krijgen.
Patroon 3: de organisatorische laag is de zwakste schakel
Voor het eerst in 2025 vroeg Sophos respondenten naar de organisatorische factoren die eraan bijdroegen dat ze werden getroffen. De bevindingen zijn opvallend:
- 40,2% noemde 'gebrek aan expertise' — onvoldoende vaardigheden of kennis om de aanval tijdig te detecteren en te stoppen.
- 40,1% noemde 'onbekende beveiligingslacunes' — zwakke plekken in hun verdediging waarvan ze zich niet bewust waren.
- Respondenten identificeerden gemiddeld 2,7 bijdragende factoren per incident.
Vertaald uit onderzoekstaal: enterprise-securityteams weten dat ze onderbezet zijn, weten dat ze blinde vlekken hebben, en weten dat de complexiteit hun vermogen om die te beheersen heeft ingehaald. Back-upinfrastructuur — doorgaans de minst geliefde, minst gemoderniseerde laag van de enterprise-stack — bevindt zich precies op het snijpunt van deze drie zwaktes.
Wanneer de mensen die uw back-upomgeving beheren dezelfde mensen zijn die incident response, patching, identity en tientallen andere prioriteiten runnen, krijgt de back-uplaag niet de architectonische aandacht die ze nodig heeft. En dus presteert die laag niet wanneer daar tijdens een incident een beroep op wordt gedaan.
Wat de sectorspecifieke rapporten aan het beeld toevoegen
Sophos publiceerde diverse sectorspecifieke uitsplitsingen van de data van 2025, en elk daarvan voegt aandacht waardige nuance toe.
In de maakindustrie daalde de versleutelingsgraad naar een vijfjaarslaagtepunt van 40%, maar bereikte het mediane betaalde losgeld nog altijd $1 miljoen, en rapporteerde 47% van de fabrikanten toegenomen teamstress na een incident. De afhankelijkheid van de sector van operationele continuïteit — waarbij minuten downtime doorwerken in hele toeleveringsketens — maakt herstelvertrouwen existentieel belangrijk.
In de detailhandel werd 46% van de incidenten herleid tot een onbekende beveiligingslacune, en betaalde 58% van de organisaties met versleutelde data het losgeld — het op één na hoogste betalingspercentage in vijf jaar. De mediane losgeldeis in de detailhandel verdubbelde naar $2 miljoen.
Het patroon is over alle sectoren consistent: organisaties worden beter in het stoppen van aanvallen. Ze worden niet evenredig beter in herstellen ervan. De kloof tussen de volwassenheid van preventie en die van herstel wordt groter — en in die kloof huizen de losgeldbetalingen.
Wat het Sophos-rapport aanbeveelt (en wat het weglaat)
Sophos' eigen aanbevelingen richten zich op vier gebieden: preventie, bescherming, detectie en respons. Dit zijn zinvolle aanbevelingen die goed worden ondersteund door de data. Concreet beveelt het rapport aan:
- Veelvoorkomende technische en operationele grondoorzaken wegnemen (misbruikte kwetsbaarheden, zwakke identity-controls).
- De fundamentele beveiliging versterken met gehardende configuraties, MFA en patchdiscipline.
- Investeren in Managed Detection and Response (MDR)-capaciteiten.
- Gedetailleerde incident response-plannen opstellen.
Allemaal correct. Allemaal noodzakelijk. Maar er is een vijfde pijler die het rapport niet centraal stelt, en de back-upgebruikscijfers van 2025 zijn precies de reden waarom dat wel zou moeten:
De herstelarchitectuur zelf moet worden gemoderniseerd — niet alleen verdedigd.
Een back-upomgeving die is ontworpen om te herstellen van hardwarestoringen en per ongeluk verwijderde bestanden, is niet hetzelfde als een back-upomgeving die is ontworpen om te herstellen van een vastberaden aanvaller die al twee weken in het netwerk zit. Het eerste is een redundantieprobleem. Het tweede is een architectuurprobleem. En de data laat zien dat de meeste enterprise back-upomgevingen nog altijd functioneren als het eerste.
De back-upvertrouwenskloof: wat u in plaats daarvan zou moeten meten
Als u maar één operationele verandering meeneemt uit het Sophos-rapport van 2025, laat het dan deze zijn: stop met het meten van het slagingspercentage van back-ups, en begin met het meten van back-upvertrouwen.
Het slagingspercentage van back-ups is de metric die uw back-upsoftware gratis meelevert. Die zegt: 'Is de job voltooid?' Die metric is inmiddels betekenisloos als herstelindicator. Threat actors weten dit, verdedigers leren het langzaam, en het gat tussen wat het dashboard laat zien en wat een incident daadwerkelijk oplevert, is precies waar de daling van 20 procentpunt in back-upgebaseerd herstel vandaan komt.
Back-upvertrouwen is een andere metric. Die stelt de vraag:
- Kunnen we tier-one-systemen vandaag, onder betwiste omstandigheden, herstellen vanuit onveranderlijke (immutable) opslag binnen onze vastgestelde RTO?
- Werken onze herstelprocedures wanneer de identity providers van productie zijn gecompromitteerd?
- Hebben we gevalideerd dat onze retentiebeleidsregels niet kunnen worden gewijzigd door enige credential op productieniveau?
- Monitoren we de telemetrie van het back-upsysteem op aanvallersgedrag — en niet alleen op het voltooien van jobs?
- Wanneer aan het IR-team wordt gevraagd 'moeten we betalen?' — wat is dan de technische onderbouwing van het antwoord?
Op deze vragen bestaan antwoorden. De meeste enterprises weten momenteel niet wat hun antwoorden zijn, en de Sophos-data is het gevolg van die onzekerheid die zich op grote schaal voltrekt.
Onze conclusie uit de Sophos-data van 2025
Bij een zorgvuldige lezing van het volledige rapport zien we niet het verhaal dat de meeste samenvattingen vertelden. Het is dit:
De sector is aanmerkelijk beter geworden in het voorkomen dat ransomware zijn volledige payload bereikt. Dat is een reële en belangrijke verbetering, en die verdient erkenning.
Maar de herstellaag — de architectonische belofte dat organisaties nooit losgeld zouden hoeven te betalen omdat ze konden herstellen vanuit schone back-ups — wordt in stilte uitgehold. De daling van 20 procentpunt in back-upgebaseerd herstel is de rook. De architectuurkloof daaronder is het vuur.
Voor enterprises die actief zijn in gereguleerde sectoren, complexe hybride omgevingen beheren, of simpelweg niet bereid zijn de volgende ransomwarecampagne uit eigen zak te financieren, is dit hét prioritaire gesprek voor 2026. Niet 'hebben we back-ups?' — elke organisatie in het Sophos-onderzoek had back-ups. De vraag is: overleeft onze back-uparchitectuur een echte aanvaller, en kunnen we dat bewijzen voordat we het nodig hebben?
Hoe BackupSec de vertrouwenskloof aanpakt
Bij BackupSec hebben we onze dienstverlening gebouwd op het uitgangspunt dat back-upomgevingen observeerbaar, adviseerbaar en bewijsbaar moeten zijn onder vijandige omstandigheden — niet alleen operationeel onder normale omstandigheden. Elk onderdeel van onze aanpak sluit aan op de tekortkomingen die de Sophos-data blootlegt:
- ZeroMON — ons observability-platform — biedt continue monitoring van back-upoperaties en securitysignalen: real-time job tracking, meldingen bij configuration drift, forensische audit trails, capaciteitsanalyses en Veeam-ready visibility. Dit is de laag die de stille back-upstoringen opvangt die de Sophos-data suggereert. Het is het operationele antwoord op de vraag: 'doen onze back-ups daadwerkelijk wat het dashboard zegt dat ze doen?'
- ZeroTAM — onze expert advisory-dienst — geeft enterprise-teams een dedicated back-upsecurity-adviseur voor architectuurbeoordelingen, ransomware-herstelplanning, capaciteitsstrategie en crisisrespons. Dit is de menselijke laag die inspeelt op het 'gebrek aan expertise' dat door 40,2% van de Sophos-respondenten wordt genoemd — zonder wisselende supporttickets of generieke adviezen.
- ZeroPEN — onze dienst voor back-uppenetratietesten en herstelvalidatie — pakt de kloof van 53% back-upgebruik rechtstreeks aan. We pentesten uw back-upbeheervlakken, toegangscontroles, immutability-instellingen en isolatiepositie zoals een daadwerkelijke aanvaller dat zou doen. Vervolgens voeren we echte herstelscenario's uit tegen uw RTO/RPO-doelstellingen en verifiëren we dat de herstelde data schoon, volledig en vrij van persistentie van de aanvaller is. Het resultaat is geen lijst met bevindingen — het is gedocumenteerd bewijs dat herstel werkt.
BackupSec wordt on-premise ingezet. We koppelen via read-only API-toegang. Uw back-updata, telemetrie en configuratiedetails verlaten nooit uw omgeving. We vervangen uw back-upplatform niet — we maken het platform dat u al gebruikt observeerbaar, adviseerbaar en bewijsbaar.
Het back-upgebruikspercentage van 53% in de Sophos-enterprise-data is geen onvermijdelijk lot. Het is het gevolg van een architectonisch tijdperk dat ten einde loopt. De organisaties die de vertrouwenskloof in de komende twaalf maanden dichten, zijn de organisaties die volgend jaar niet meer voorkomen in de kolom 'losgeld betaald' van het rapport.
Praat met BackupSec over het valideren van uw herstelgereedheid →
Deze analyse is gebaseerd op het Sophos State of Ransomware 2025-rapport en gerelateerde sectorspecifieke publicaties. De interpretatie en het kader die hier worden gepresenteerd, zijn van BackupSec zelf. Om te bespreken hoe de bevindingen van 2025 van toepassing zijn op uw specifieke omgeving, neem contact op met ons team →