Het meest onderschatte cijfer in het Sophos-rapport van 2025
Toen Sophos zijn State of Ransomware-rapport van 2025 publiceerde, richtte de meeste berichtgeving zich op de hoofdcijfers: dalende encryptiepercentages, kortere hersteltijden, minder losgeldbetalingen. Die cijfers zijn reëel en van belang. Maar verscholen in een onderdeel van het rapport dat dit jaar voor het eerst werd onderzocht — de organisatorische factoren die bedrijven kwetsbaar maakten — staat één statistiek die naar onze mening volledig herdefinieert hoe risicoverantwoordelijken binnen ondernemingen over ransomware zouden moeten nadenken.
Van de 3.400 ondervraagde organisaties gaven slachtoffers gemiddeld 2,7 verschillende bijdragende factoren aan achter de aanvallen die tegen hen slaagden.
Niet één. Zelfs geen twee. Bijna drie onafhankelijke zwakke plekken die bij elk geslaagd incident tegelijkertijd een rol speelden.
Dit is geen voetnoot. Het is het wiskundige bewijs dat het tijdperk van ransomwareverdediging op basis van één beheersmaatregel voorbij is — en dat back-uparchitectuur in stilte de belangrijkste compenserende maatregel is geworden binnen de moderne enterprise-stack.
Bij BackupSec zijn we van mening dat het cijfer 2,7 het strategisch meest bruikbare getal uit het hele rapport is. Dit artikel ontleedt wat dit cijfer werkelijk betekent, waarom het strategieën die uitsluitend op preventie leunen wiskundig onhoudbaar maakt, en wat het betekent voor organisaties die back-up nog altijd als een bijzaak van "echte" beveiliging behandelen.
Wat het cijfer 2,7 werkelijk betekent
In het Sophos-rapport van 2025 werd respondenten voor het eerst gevraagd om de organisatorische factoren te benoemen die bijdroegen aan het feit dat ze werden getroffen — niet alleen het technische toegangspunt, maar de bredere operationele omstandigheden die hen kwetsbaar maakten. De bevindingen schetsen een beeld dat geen enkele managementsamenvatting helder kan vangen:
- 40,2% noemde een gebrek aan expertise — onvoldoende vaardigheden of kennis om de aanval tijdig te detecteren en te stoppen.
- 40,1% noemde onbekende beveiligingslacunes — zwakke plekken in de verdediging waarvan men zich pas na het incident bewust werd.
- Aanzienlijke percentages noemden gebrek aan capaciteit, gebrek aan beschermingsproducten, lacunes in procesdiscipline en onvolledig zicht op het eigen aanvalsoppervlak.
- Daarbovenop kwamen technische hoofdoorzaken: misbruikte kwetsbaarheden (32%), gecompromitteerde inloggegevens (23%), kwaadaardige e-mail (19%) en phishing (18%).
Toen respondenten de factoren optelden waarvan zij dachten dat die aan hun incident hadden bijgedragen, kwam het gemiddelde uit op 2,7. Sophos noemt dit "een complexe, veelzijdige situatie". Wij zouden het iets preciezer omschrijven als: structurele onvermijdelijkheid.
Als elk geslaagd ransomware-incident in 2025 bijna drie onafhankelijke fouten kende, dan werkt het impliciete verdedigingsmodel dat de meeste ondernemingen nog altijd hanteren — "vind de lacune, dicht de lacune" — tegen een aanvaller die er slechts één van de drie hoeft te vinden. De verdediger moet ondertussen alle drie tegelijk beheersen.
Dat is geen beveiligingsprobleem. Dat is een asymmetrieprobleem.
De asymmetrie: één deur versus zeven
Bekijk de wiskunde eens vanuit het perspectief van de aanvaller.
Een moderne ransomware-operator — of het nu gaat om een aan een staat gelieerde groep, een RaaS-partner of een onafhankelijke actor — hoeft niet elke zwakke plek in uw omgeving te identificeren en te misbruiken. Ze hoeven slechts één haalbaar pad te vinden: één ongepatcht systeem, gecompromitteerde inloggegevens, één verkeerd geconfigureerde cloudopslag, één voor phishing gevoelige gebruiker, één administratieve lacune.
Bekijk nu de wiskunde vanuit het perspectief van de verdediger. U bent verantwoordelijk voor:
- Kwetsbaarhedenbeheer over duizenden assets, in cycli waarmee geen enkel patchritme betrouwbaar gelijke tred houdt.
- Identity governance over menselijke gebruikers, serviceaccounts, gefedereerde identiteiten en in toenemende mate autonome agents.
- E-mail- en samenwerkingsbeveiliging, het meest voorkomende toegangspunt en degene met de meeste menselijke variabiliteit.
- Endpointbeveiliging tegen payloads die sneller evolueren dan signatuurgebaseerde detectie zich kan aanpassen.
- Netwerksegmentatie, ontworpen tegen dreigingsmodellen die voortdurend veranderen.
- Cloud- en SaaS-configuratie over tientallen of honderden diensten, elk met een eigen permissiemodel.
- Back-up- en herstelinfrastructuur die moet functioneren onder omstandigheden die de rest van uw stack al niet heeft weten te voorkomen.
De aanvaller speelt één vakje op dit bord. De verdediger speelt alle zeven, elke dag, met beperkte middelen.
Het cijfer 2,7 van Sophos is de empirische bevestiging dat deze asymmetrie niet langer hypothetisch is. Bij de daadwerkelijke incidenten die zich in 2025 voordeden, faalden verdedigers gelijktijdig in bijna drie vakjes — niet omdat ze nalatig waren, maar omdat het model structureel in het nadeel werkt van volledige preventie.
Waarom "gewoon de hoofdoorzaak oplossen" wiskundig niet klopt
Een veelvoorkomende reactie op incidentanalyse is het identificeren van de "hoofdoorzaak" en die te verhelpen. Compliance-kaders versterken deze denkwijze. Datzelfde geldt voor de meeste post-incidentevaluaties. De Sophos-data van 2025 laat zien waarom deze benadering, hoe intuïtief bevredigend ook, steeds verder losstaat van hoe moderne incidenten zich in werkelijkheid ontvouwen.
Als het gemiddelde geslaagde incident 2,7 bijdragende factoren kent, dan is het aanwijzen van één enkele hoofdoorzaak per definitie een onvolledige analyse. Het vertelt u door welke deur de aanvaller naar binnen liep — niet waarom het gebouw zoveel onvergrendelde deuren had dat er altijd wel eentje beschikbaar zou zijn.
Dit is operationeel van belang omdat de middelen die worden besteed aan het obsessief analyseren van het specifieke toegangsvector van het incident van vorig jaar, middelen zijn die niet worden besteed aan de architecturale lacunes die bepalend zijn voor dat van volgend jaar. De Sophos-data suggereert dat organisaties die in de modus van één hoofdoorzaak opereren, structureel onderinvesteren in de gelaagde beheersmaatregelen die bepalen of elk toegangsvector tot een catastrofale uitkomst leidt.
De strategische herkadering is deze: voor elke voldoende complexe enterprise-omgeving zullen aanvallers uiteindelijk een haalbaar pad vinden. De vraag die bepaalt of dat pad leidt tot een betaald losgeld is niet "hebben we elke deur gesloten?" maar "overleeft onze architectuur zodra er eentje opengaat?"
De compenserende maatregel die de meeste ondernemingen onderschatten
Dit is het architecturale inzicht dat het cijfer 2,7 onontkoombaar maakt: wanneer preventie met wiskundige regelmaat zal falen, verschuiven de lagen die de bedrijfsuitkomst bepalen stroomafwaarts.
Dit is het punt waarop back-uparchitectuur verschuift van "infrastructuurhygiëne" naar "primaire strategische beheersmaatregel".
In een dreigingsmodel met één vector is back-up een noodoplossing. In een dreigingsmodel met 2,7 factoren is back-up de compenserende maatregel voor elke preventiefout die onvermijdelijk zal optreden. De Sophos-data van 2025 laat dit in schrille cijfers zien:
- 48% van de enterprise-organisaties betaalde het losgeld, ondanks verbeteringen in preventie.
- Het gebruik van back-ups om versleutelde data te herstellen daalde naar een dieptepunt van vier jaar: 53%, tegenover 73% het jaar ervoor.
- De gemiddelde herstelkosten voor ondernemingen liepen op tot $1,83 miljoen voor organisaties met 1.000–5.000 medewerkers — en dat cijfer is exclusief eventueel betaald losgeld.
Wanneer u deze cijfers leest tegen de achtergrond van de 2,7 factoren, wordt het verhaal coherent: organisaties worden beter in het voorkomen van sommige aanvallen, maar verbeteren niet de herstelarchitectuur die de uitkomst bepaalt wanneer preventie faalt. Het resultaat is een groeiende kloof tussen volwassenheid op het gebied van preventie en volwassenheid op het gebied van herstel — en precies in die kloof vinden losgeldbetalingen plaats.
Voor risicoverantwoordelijken binnen ondernemingen impliceert dit een specifieke herverdeling van architecturale aandacht. Investeringen in detectie, identiteit en patchbeheer blijven allemaal essentieel. Maar geen ervan elimineert de 2,7. Ze verschuiven alleen welke drie deuren op een gegeven dag openstaan. De beheersmaatregel die bepaalt of een geopende deur uitmondt in een existentieel incident, is degene die de meeste organisaties het minst hebben gemoderniseerd: de architectuur die schone, onveranderlijke, gevalideerde kopieën van bedrijfskritische data bewaart en deze onder vijandige omstandigheden kan herstellen.
Hoe 2,7 eruitziet bij een daadwerkelijk incident
Om dit concreet te maken: bekijk hoe de 2,7 zich doorgaans samenstelt in een reële enterprise-omgeving. De specifieke factoren variëren, maar het patroon is consistent:
Factor één is doorgaans een toegangsvector: een ongepatcht edge-apparaat, gecompromitteerde inloggegevens die over meerdere systemen worden hergebruikt, of een geslaagde phishingmail. Dit is de fout die het post-incidentrapport de "hoofdoorzaak" zal noemen.
Factor twee is doorgaans een fout op het gebied van rechten of zichtbaarheid waardoor de initiële voet aan de grond zich kon uitbreiden: overmatige permanente rechten, lacunes in de detectie van laterale beweging, of onvoldoende segmentatie tussen bedrijfsonderdelen.
Factor drie is vrijwel altijd een fout op de herstellaag die een ingedamde inbreuk omzette in een betaald losgeld: back-upinloggegevens die bereikbaar zijn vanuit productie, retentiebeleid dat wijzigbaar is door gecompromitteerde beheerders, of hersteprocedures die nooit zijn getest tegen het daadwerkelijke scenario waar het team nu voor staat.
De eerste twee factoren krijgen de aandacht tijdens incident response. De derde bepaalt de financiële uitkomst. En de derde is degene die de meeste ondernemingen het minst goed kunnen beoordelen voordat een incident hen daartoe dwingt.
Dit is de operationele realiteit waar het cijfer 2,7 naar wijst. De factoren zijn niet abstract — het is de specifieke opeenvolging van fouten die een beheersbaar beveiligingsincident omzet in een crisis op bestuursniveau.
Wat dit betekent voor risicoallocatie
Als u de bevinding van 2,7 als architecturaal relevant aanvaardt — en de onderliggende Sophos-dataset van 3.400 organisaties maakt het lastig om dit terzijde te schuiven — dan volgen daaruit verschillende conclusies voor allocatie.
Spreid investeringen over de hele faalketen, niet binnen één enkele laag. Dubbel inzetten op e-mailbeveiliging terwijl de herstelarchitectuur ongewijzigd blijft, verschuift alleen welke factor als eerste faalt; het vermindert het totale aantal fouten niet. Enterprise-beveiligingsbudgetten die onevenredig veel toewijzen aan preventie terwijl back-up wordt behandeld als een standaard begrotingspost, opereren tegen een dreigingsmodel dat niet langer overeenkomt met hoe incidenten zich daadwerkelijk ontvouwen.
Beoordeel architecturen aan de hand van multifactorscenario's, niet aan de hand van tests met één vector. Een penetratietest die bevestigt dat één verdedigingslaag standhoudt, is geen bewijs dat uw omgeving een echte aanval overleeft. De Sophos-data laat zien dat echte aanvallen bijna drie zwakke plekken tegelijk misbruiken. Tabletop-oefeningen en red-team-inzetten moeten expliciet worden ontworpen om die samengestelde conditie te testen.
Meet herstelvertrouwen, niet back-upvoltooiing. Het percentage van 53% back-upgebruik in de Sophos enterprise-data is geen verhaal over back-ups die in het algemeen falen. Het is een verhaal over back-uparchitecturen die zijn ontworpen voor fouten met één factor (een server is uitgevallen, een gebruiker heeft een bestand verwijderd) maar moeten presteren onder multifactorcondities (de aanvaller zit al twee weken in het netwerk en heeft alles aangeraakt). Dat zijn verschillende problemen, en de meeste enterprise back-upomgevingen zijn gebouwd voor het eerste.
Behandel de herstellaag als de compenserende maatregel die het geworden is. Wanneer preventie met wiskundige regelmaat zal falen, is de laag die de uitkomst bepaalt degene die schone, geïsoleerde, onveranderlijke kopieën van data bewaart en deze snel kan herstellen onder vijandige omstandigheden. Die laag moet worden ontworpen, bestuurd en getest met dezelfde striktheid als de productieomgeving die zij beschermt.
Waar BackupSec in beeld komt
Bij BackupSec is onze volledige aanpak gebouwd rond één architecturaal uitgangspunt: preventie zal uiteindelijk falen, en wanneer dat gebeurt, bepaalt de herstellaag of die fout herstelbaar is of existentieel.
De bevinding van 2,7 uit de Sophos-data is in veel opzichten de empirische onderbouwing van dat uitgangspunt. De drie diensten die wij leveren — observability, advisory en pentested recovery proof — zijn ontworpen om antwoord te geven op de vragen die het cijfer 2,7 risicoverantwoordelijken binnen ondernemingen dwingt onder ogen te zien:
- ZeroMON beantwoordt de vraag "Wat doet onze back-upomgeving op dit moment daadwerkelijk?" — via continue monitoring van back-upoperaties en beveiligingssignalen, forensische audittrails in real time, detectie van configuratiedrift, en Veeam-ready zichtbaarheid over het gehele back-uplandschap.
- ZeroTAM beantwoordt de vraag "Beschikken wij over de expertise om te interpreteren wat wij zien?" — via een toegewijde back-upbeveiligingsadviseur die uw omgeving, uw herstelprioriteiten en uw architectuur kent, beschikbaar voor proactieve begeleiding en crisisrespons, zonder de wrijving van wisselende supporttickets.
- ZeroPEN beantwoordt de vraag "Kunnen wij daadwerkelijk herstellen wanneer de preventielaag faalt?" — via back-uppenetratietests die zich richten op uw beheervlakken, toegangscontroles en onveranderlijkheidspositie, gevolgd door echte hersteloefeningen die schoon, volledig en tijdig herstel valideren ten opzichte van uw vastgestelde RTO en RPO.
BackupSec wordt on-premise geïmplementeerd, maakt verbinding via alleen-lezen API-toegang en verplaatst nooit back-updata of telemetrie buiten uw omgeving. Wij vervangen uw back-upplatform niet — wij maken de herstellaag die dat platform ondersteunt observeerbaar, adviseerbaar en aantoonbaar onder de multifactorcondities die de Sophos-data beschrijft.
Als uw organisatie het Sophos-rapport van 2025 leest en concludeert dat het antwoord is om elke deur te sluiten, vertelt de data u iets anders: niet alle deuren zullen gesloten blijven, en de architectuur die bepaalt wat er gebeurt zodra er eentje opengaat, is het gesprek dat het waard is om in 2026 te voeren.
Praat met BackupSec over herstelvalidatie →
Deze analyse is gebaseerd op het Sophos State of Ransomware 2025-rapport en het bredere ransomware-onderzoekslandschap van 2025. De interpretatie en het kader die hier worden gepresenteerd, zijn van BackupSec zelf. Om te bespreken hoe deze analyse van toepassing is op uw specifieke omgeving, neem contact op met ons team →