Een stil cijfer dat alarmbellen zou moeten laten afgaan
Elk jaar publiceert Sophos zijn rapport State of Ransomware, gebaseerd op wat het omschrijft als een onafhankelijke, leveranciersneutrale enquête onder IT- en cybersecurityleiders van organisaties die door ransomware zijn getroffen. De editie van 2025, gepubliceerd in juni 2025, omvat 3.400 respondenten in 17 landen van organisaties met 100 tot 5.000 medewerkers. In december 2025 publiceerde Sophos een aparte uitsnede, The State of Ransomware in Enterprise 2025, over de 1.733 respondenten van grote organisaties met 1.000 tot 5.000 medewerkers. Sophos vernoemt elk rapport naar het jaar van de enquête (januari tot maart 2025), dus veel van de beschreven aanvallen vonden plaats in 2024.
De belangrijkste bevindingen zijn bemoedigend: het percentage aanvallen met versleutelde data daalt, herstel gaat sneller en minder slachtoffers betalen losgeld.
Maar het rapport over grote organisaties bevat een cijfer dat op het whiteboard van elke CISO zou moeten staan:
Van de grote organisaties waarvan de data was versleuteld, daalde het aandeel dat back-ups gebruikte om die terug te zetten van 73% in 2024 naar 53% in 2025. Sophos noemt het het laagste niveau in vier jaar.
Lees dat nog eens. In het jaar waarin verdedigers beter werden in het stoppen van ransomware vóór de versleuteling, konden de grote organisaties die wel met versleuteling te maken kregen aantoonbaar minder vaak herstellen vanuit hun eigen back-ups.
Dit is geen kleine voetnoot. Wij denken dat het de strategisch belangrijkste bevinding in de Sophos-data is. De hoofdcijfers vertellen het ene verhaal; de herstelcijfers vertellen een ander. Dit artikel loopt door wat de data volgens ons zegt over weerbaarheid tegen ransomware, en waarom vertrouwen in back-ups de metriek is geworden die het meest telt.
Het verhaal aan de oppervlakte: de verdediging wint
Laten we beginnen met het goede nieuws, want dat is er echt.
Over alle 3.400 respondenten in het hoofdrapport van 2025:
- Het aandeel aanvallen met versleutelde data daalde naar 50%, tegenover 70% in 2024, het laagste percentage in de zes jaar van het onderzoek.
- De gemiddelde kosten van herstel, zonder eventueel losgeld, daalden van $2,73 miljoen naar $1,53 miljoen.
- De mediane losgeldbetaling halveerde, van $2 miljoen in 2024 naar $1 miljoen in 2025.
- 53% van de slachtoffers had binnen een week volledig hersteld, tegenover 35% in 2024.
- 49% van de slachtoffers met versleutelde data betaalde het losgeld, tegenover 56% in 2024.
Bij grote organisaties, volgens het rapport over grote organisaties:
- Het aandeel aanvallen met versleutelde data daalde naar 49%, tegenover 66% in 2024.
- Het aandeel aanvallen dat vóór de versleuteling werd gestopt, verdubbelde ruimschoots in twee jaar, van 22% in 2023 naar 47% in 2025.
Sophos leest de daling van versleuteling als teken dat organisaties "are more capable of stopping attacks before the encrypted payload is deployed" (beter in staat zijn aanvallen te stoppen voordat de versleutelende payload wordt uitgerold), en het snellere herstel als mogelijk teken van investeringen in "cyber incident preparation and recovery readiness" (voorbereiding op cyberincidenten en herstelparaatheid). Op zichzelf gelezen zeggen deze cijfers dat de sector de hoek om is.
Dan komt u bij de herstelcijfers.
De tegenstrijdigheid die alles blootlegt
Dit is het datapunt dat het optimistische verhaal compliceert.
Van de grote organisaties waarvan de data was versleuteld, gebruikte 53% back-ups om die terug te zetten, tegenover 73% een jaar eerder. In dezelfde periode betaalde 48% het losgeld om data terug te krijgen, tegenover 55% (rapport over grote organisaties). Beide routes krompen. Bijna een derde (30%) van de grote organisaties met versleutelde data zei andere middelen te hebben gebruikt, waarvan Sophos oppert dat het kan gaan om "restoration from shadow copies, utilizing endpoint protection rollback features or recovering data from unaffected systems" (terugzetten vanuit shadow copies, het gebruiken van rollbackfuncties van endpointbescherming of het herstellen van data vanaf systemen die niet waren geraakt).
In 2024 lagen back-ups 18 punten voor op het betalen van losgeld (73% tegenover 55%). In 2025 was die voorsprong 5 punten (53% tegenover 48%). Minder grote organisaties betalen, en dat is goed nieuws. Maar de herstellaag die betalen overbodig moest maken, draagt minder van de last, niet meer.
De eigen samenvatting van Sophos is direct: "Collectively, these findings point to stronger resistance to demands together with weaknesses and lack of backup resilience." (samen wijzen deze bevindingen op sterkere weerstand tegen eisen, samen met zwakke punten en een gebrek aan weerbaarheid van back-ups).
Zwakke punten en een gebrek aan weerbaarheid van back-ups: dat is het deel waar het ons om gaat. Verdedigers worden beter in het vroeg stoppen van aanvallen. Maar als een aanval toch slaagt en data wordt versleuteld, worden de back-ups die het vangnet zouden moeten zijn minder vaak gebruikt.
Dat is geen verhaal over ransomware die moeilijker wordt. Het is een verhaal over back-uparchitectuur die wordt blootgelegd.
Waarom falen back-ups op het beslissende moment?
De Sophos-rapporten zeggen niet waarom het gebruik van back-ups daalde. De enquête legt vast hoe data werd teruggehaald, niet waarom back-ups wel of niet werden gebruikt. De drie patronen hieronder zijn onze interpretatie, onderbouwd met Sophos-data waar die bestaat.
Patroon 1: back-ups worden samen met productie gecompromitteerd
Aanvallers gaan bewust achter back-ups aan. In het onderzoek van Sophos uit 2024 naar gecompromitteerde back-ups zei 94% van de door ransomware getroffen organisaties dat de aanvallers probeerden hun back-ups te compromitteren, en 57% van die pogingen slaagde. Organisaties waarvan de back-ups waren gecompromitteerd, betaalden bijna twee keer zo vaak losgeld (67% tegenover 36%), en hun mediane herstelkosten lagen acht keer hoger ($3 miljoen tegenover $375.000).
Datadiefstal voert de druk op. In het rapport over grote organisaties had 30% van de grote organisaties met versleutelde data ook te maken met gestolen data (15% van alle slachtoffers onder grote organisaties). Een schone restore doet niets aan data die het gebouw al heeft verlaten.
Als uw back-upsysteem een domein, een identity provider of een set credentials deelt met uw productieomgeving, is het geen aparte herstellaag. Dan is het het volgende doelwit in dezelfde kill chain.
Patroon 2: "back-up geslaagd" is niet hetzelfde als "restore geslaagd"
De data over grote organisaties bevat een direct signaal. Van de 72 grote organisaties die meer betaalden dan de oorspronkelijke losgeldeis, gaf 42% deze reden: "Our backups failed or were malfunctioning" (onze back-ups faalden of werkten niet goed) (rapport over grote organisaties). De groep is klein, maar het zijn slachtoffers uit grote organisaties die in duidelijke taal zeggen dat hun back-ups het niet hielden.
Ook de menselijke kosten zijn duidelijk. Elke grote organisatie met versleutelde data meldde gevolgen voor haar IT-/cybersecurityteam: 40% meldde meer druk vanuit het senior management, 39% meer angst of stress over toekomstige aanvallen, en in 27% van de gevallen werd de leiding van het team vervangen.
Een joblog met "success" vertelt u dat de back-up is gedraaid. Het vertelt u niet dat de restore zal werken met de snelheid of volledigheid die het bedrijf nodig heeft.
Dit is het faalpatroon waar de "0" in de 3-2-1-1-0-regel op inspeelt. De security best practice guide van Veeam definieert die als "0 errors" (nul fouten) bij de automatische verificatie van de herstelbaarheid van elke back-up met SureBackup. Een voltooide job is geen geverifieerde restore, en verificatie telt alleen als ze de herstelscenario's test waarmee u bij een echt incident te maken krijgt.
Patroon 3: de organisatorische laag is de zwakste schakel
In 2025 vroeg Sophos slachtoffers voor het eerst naar de organisatorische factoren waardoor ze kwetsbaar waren. Over alle 3.400 respondenten in het hoofdrapport:
- 40,2% noemde een gebrek aan expertise: niet de vaardigheden of kennis hebben om de aanval op tijd te detecteren en te stoppen.
- 40,1% noemde onbekende securitygaten: zwakke plekken in hun verdediging waarvan ze zich niet bewust waren.
- 39,4% noemde een gebrek aan mensen of capaciteit.
- Respondenten noemden gemiddeld 2,7 bijdragende factoren.
De uitsnede voor grote organisaties is vrijwel identiek: een onbekend securitygat (40%), een gebrek aan mensen of capaciteit (39,2%) en een gebrek aan expertise (38,9%) staan bovenaan, met gemiddeld drie genoemde factoren.
Eenvoudig gezegd: securityteams komen mensen en vaardigheden tekort en hebben blinde vlekken die ze niet kunnen zien. Wij zouden stellen dat back-upinfrastructuur precies op het snijpunt van die drie zwakheden ligt. Als de mensen die haar beheren ook incident response, patching en identiteit doen, krijgt ze zelden aandacht op architectuurniveau totdat een incident vraagt dat ze levert.
Wat de sectorrapporten toevoegen
Sophos publiceerde ook sectoruitsneden van de enquête van 2025.
In productie en maakindustrie (332 respondenten) daalde het versleutelingspercentage naar 40%, het laagste in vijf jaar, en de mediane losgeldbetaling was $1 miljoen, tegenover $1,2 miljoen. 47% meldde meer angst of stress over toekomstige aanvallen binnen het IT-/cybersecurityteam. Het gebruik van back-ups bleef stabiel op 58%.
In de retail (361 respondenten in 16 landen) daalde het versleutelingspercentage naar 48%, eveneens het laagste in vijf jaar. Een onbekend securitygat was de meest voorkomende operationele factor, genoemd door 46% van de slachtoffers. 58% van de retailers met versleutelde data betaalde het losgeld, wat Sophos "the second highest ransom payment rate in five years" (het op één na hoogste betalingspercentage in vijf jaar) noemt. De mediane losgeldeis verdubbelde van $1 miljoen naar $2 miljoen, en het gebruik van back-ups daalde naar 62%, het laagste in vier jaar.
Het beeld per sector is gemengd: in retail daalde het gebruik van back-ups, in de maakindustrie bleef het gelijk. Wat de sectorrapporten gemeen hebben met de data over grote organisaties, is dat preventie sneller verbetert dan herstel op basis van back-ups. De versleutelingspercentages daalden in beide sectoren, terwijl het gebruik van back-ups daalde of stilstond. Dat gat tussen de volwassenheid van preventie en die van herstel is volgens ons waar losgeldbetalingen ontstaan.
Wat het Sophos-rapport aanbeveelt (en waar wij meer gewicht zouden leggen)
Het hoofdrapport en het rapport over grote organisaties sluiten af met dezelfde vier aanbevelingen:
- Preventie: neem de technische en operationele grondoorzaken weg die het rapport vaststelt.
- Bescherming: sterke basissecurity, met goed verdedigde endpoints (inclusief servers), inclusief specifieke anti-ransomwarebescherming die kwaadaardige versleuteling kan stoppen en terugdraaien.
- Detectie en respons: dag en nacht dreigingsdetectie en respons, via een aanbieder van managed detection and response (MDR) als u de middelen of vaardigheden intern niet hebt.
- Planning en voorbereiding: een incidentresponsplan dat u goed weet uit te voeren, plus back-ups van goede kwaliteit en regelmatig oefenen met het terugzetten van data daaruit.
Allemaal juist. Back-ups staan erin, in één zin onder planning en voorbereiding. Gezien de back-upcijfers van grote organisaties zouden wij herstel meer gewicht geven:
De herstelarchitectuur zelf moet worden gemoderniseerd, niet alleen verdedigd.
Een back-upomgeving die is ontworpen om te herstellen van hardwarestoringen en per ongeluk verwijderde bestanden, is niet dezelfde als een omgeving die is ontworpen om te herstellen van een tegenstander die al in het netwerk zit en eerst achter de back-ups aangaat. Het eerste is een redundantieprobleem. Het tweede is een architectuurprobleem. Oefenen met restores is nodig, maar helpt niet als de aanvaller de back-ups kan bereiken waarmee u hebt geoefend.
De kloof in back-upvertrouwen: wat u in plaats daarvan meet
Als u één operationele verandering meeneemt uit de Sophos-data van 2025, laat het dan deze zijn: stop met het slagingspercentage van back-ups te behandelen als uw herstelmetriek, en ga back-upvertrouwen meten.
Het slagingspercentage van back-ups is de metriek die uw back-upsoftware u gratis geeft. Het beantwoordt één vraag: is de job voltooid? Op zichzelf is het geen herstelindicator. Wij denken dat het gat tussen wat het dashboard toont en wat een incident oplevert deels verklaart waarom herstel op basis van back-ups met 20 punten daalde.
Back-upvertrouwen stelt andere vragen:
- Kunnen we tier-1-systemen vandaag, onder betwiste omstandigheden, binnen onze vastgestelde RTO terugzetten vanuit immutable storage?
- Werken onze herstelprocedures als de identity providers van productie gecompromitteerd zijn?
- Hebben we gevalideerd dat ons retentiebeleid door geen enkele credential uit de productielaag kan worden gewijzigd?
- Monitoren we de telemetrie van het back-upsysteem op gedrag van een tegenstander, en niet alleen op voltooide jobs?
- Als het IR-team de vraag "moeten we betalen?" krijgt, wat is dan de technische basis voor het antwoord?
Op deze vragen bestaan antwoorden. Veel grote organisaties kennen die van zichzelf nog niet.
Wat wij uit de Sophos-data van 2025 halen
Als we de rapporten volledig lezen, zien we het volgende verhaal.
Organisaties zijn wezenlijk beter geworden in het stoppen van ransomware voordat die data versleutelt. Dat is een echte verbetering, en die verdient erkenning.
Maar de laag van herstel, de belofte dat organisaties nooit zouden hoeven te betalen omdat ze vanuit schone back-ups konden terugzetten, draagt minder van de last. In de data over grote organisaties is de daling van 20 punten in herstel op basis van back-ups de rook. Wij denken dat het architectuurgat daaronder het vuur is.
Voor organisaties in gereguleerde sectoren, met complexe hybride omgevingen, of die simpelweg niet de volgende ransomwarecampagne willen financieren, is dit het gesprek dat nu gevoerd moet worden. De vraag is niet "hebben we back-ups?" De vraag is: overleeft onze back-uparchitectuur een echte tegenstander, en kunnen we dat aantonen voordat we het nodig hebben?
Hoe BackupSec de vertrouwenskloof aanpakt
Bij BackupSec werken we vanuit het uitgangspunt dat back-upomgevingen observeerbaar en onder vijandige omstandigheden getest moeten zijn, niet alleen functioneren onder normale omstandigheden. Drie van onze diensten sluiten aan op de tekortkomingen hierboven:
- ZeroMON monitort Veeam Backup & Replication: gezondheid van jobs, configuratiedrift met een Forensic & Audit-spoor van wie wat wanneer heeft gewijzigd, een checklist van de Security Analyzer, rapporten en een honeypot op de monitoringappliance. Het toont de immutability-status zoals de eigen repository-instellingen van Veeam die rapporteren; het leest de configuratie van Veeam uit en verifieert geen locks op objectniveau in de storage. Alerts gaan uit per e-mail en als melding in de applicatie. ZeroMON wordt on-premises uitgerold als OVA en maakt verbinding met een read-only account, en niets van wat het verzamelt wordt naar BackupSec of een andere derde partij gestuurd.
- ZeroTAM geeft uw team een vaste adviseur voor back-upsecurity voor architectuurreviews, planning van herstel na ransomware, capaciteitsplanning en ondersteuning met voorrang tijdens een crisis. Het is een adviesdienst, geen software, en het speelt direct in op de bevindingen over gebrek aan expertise en gebrek aan capaciteit hierboven.
- ZeroPEN is een threat-led penetratietest van Veeam Backup & Replication, Veeam ONE en Enterprise Manager. Het simuleert een ransomware-kill chain, gekoppeld aan MITRE ATT&CK, in acht fasen: initiële toegang, verkenning en inventarisatie, misbruik van credentials, compromittering van de Veeam-server, toegang tot de repository, het uitschakelen van back-ups, simulatie van exfiltratie en een bewijs van versleutelingsvermogen. De test is niet-destructief: ZeroPEN "never deletes real backups, performs real encryption, or stops production or backup services" (verwijdert nooit echte back-ups, voert nooit echte versleuteling uit en stopt nooit productie- of back-upservices). De opdracht omvat ook verificatie van restore-integriteit en immutability, en sluit af met een audit-klaar rapportpakket en een hertest voor kritieke bevindingen.
We vervangen uw back-upplatform niet. We helpen u het platform dat u al gebruikt te zien en te testen.
De 53% in de Sophos-data over grote organisaties is geen voorbestemming. Volgens ons weerspiegelt het back-uparchitecturen die voor een andere dreiging zijn gebouwd.
Praat met BackupSec over uw back-upsecurity →
Deze analyse steunt op het rapport State of Ransomware 2025 van Sophos, het rapport State of Ransomware in Enterprise 2025 en de sectorrapporten van 2025. De interpretatie is van BackupSec zelf. Sophos heeft inmiddels The State of Ransomware 2026 gepubliceerd; dit artikel gaat over de data van 2025. Wilt u bespreken hoe deze bevindingen op uw omgeving van toepassing zijn, neem dan contact op met ons team →