Het 2,7-probleem: waarom slachtoffers van ransomware doorgaans met meer dan één zwakke plek te maken hebben

Het meest onderschatte getal in het Sophos-rapport van 2025

Toen Sophos in juni 2025 zijn rapport State of Ransomware 2025 publiceerde, waren de belangrijkste bevindingen bemoedigend. Bij 50% van de aanvallen werd data versleuteld, tegenover 70% in 2024. 53% van de slachtoffers had binnen een week volledig hersteld, tegenover 35%. De mediane losgeldbetaling halveerde, van $2 miljoen naar $1 miljoen. Die cijfers zijn echt, en ze doen ertoe. Maar het rapport onderzocht ook voor het eerst iets anders: de organisatorische factoren waardoor bedrijven kwetsbaar waren. Eén statistiek uit dat deel verandert volgens ons hoe risicoverantwoordelijken in grote organisaties over ransomware zouden moeten denken.

De enquête omvatte 3.400 IT- en cybersecurityleiders in 17 landen, allemaal bij organisaties met 100 tot 5.000 medewerkers die in de voorgaande 12 maanden door ransomware waren getroffen. Gevraagd waarom hun organisatie slachtoffer werd, noemden respondenten gemiddeld 2,7 bijdragende factoren.

Niet één. Zelfs niet twee. Gemiddeld noemden slachtoffers bijna drie operationele omstandigheden achter één aanval.

Dit is geen voetnoot. Het is sterk bewijs dat een ransomwareverdediging die op één maatregel leunt niet past bij hoe slachtoffers hun eigen incidenten beschrijven, en dat back-uparchitectuur ongemerkt een van de belangrijkste compenserende maatregelen in de securitystack van grote organisaties is geworden.

Bij BackupSec vinden we het getal 2,7 het strategisch nuttigste getal in het rapport. Dit artikel legt uit wat het meet, waarom het strategieën die alleen op preventie leunen moeilijk verdedigbaar maakt, en wat het betekent voor organisaties die back-up nog steeds behandelen als bijzaak naast "echte" security.

Wat de 2,7 eigenlijk voorstelt

De vraag die Sophos stelde, was "Why do you think your organization fell victim to the ransomware attack?" (waarom denkt u dat uw organisatie slachtoffer werd van de ransomware-aanval?). Respondenten konden meer dan één van zeven operationele redenen kiezen, en gemiddeld kozen ze er 2,7. De volledige lijst, met het aandeel van de 3.400 respondenten dat elke reden noemde:

• Gebrek aan expertise: 40,2%. Niet de vaardigheden of kennis hebben om de aanval op tijd te detecteren en te stoppen.
• Onbekend securitygat: 40,1%. Een zwakke plek in de verdediging waarvan de organisatie zich niet bewust was.
• Gebrek aan mensen/capaciteit: 39,4%. Niet genoeg cybersecurityexperts die op het moment van de aanval de systemen bewaakten.
• Gebrek aan bescherming: 39,0%. Niet beschikken over de benodigde cybersecurityproducten en -diensten.
• Bekend securitygat dat niet was aangepakt: 38,2%.
• Bescherming van slechte kwaliteit die de aanval niet kon stoppen: 37,1%.
• Menselijke fout: 34,2%.

Uit de manier waarop de vraag werd gesteld, volgen twee dingen. De 2,7 is een gemiddelde, dus sommige slachtoffers noemden één factor en andere meerdere. En het getal legt vast wat respondenten denken dat heeft bijgedragen, niet de uitkomst van een forensisch onderzoek. De factoren overlappen ook. Sophos deelt ze in in problemen met bescherming (63% van de respondenten), problemen met bemensing en middelen (63%) en securitygaten (65%), en vindt "no single stand-out source." (geen enkele bron die er duidelijk uitspringt).

Sophos vroeg apart naar het technische toegangspunt. Misbruikte kwetsbaarheden waren de grondoorzaak bij 32% van de aanvallen, gecompromitteerde credentials bij 23%, kwaadaardige e-mail bij 19% en phishing bij 18%. Die aandelen beschrijven hoe de aanvaller binnenkwam. De 2,7 beschrijft de omstandigheden eromheen.

De eigen samenvatting van Sophos is dat "victims are typically facing multiple operational challenges." (slachtoffers doorgaans met meerdere operationele uitdagingen tegelijk te maken hebben). Wij lezen dat als een structureel probleem, niet als een reeks pech.

Als slachtoffers doorgaans bijna drie bijdragende omstandigheden noemen, dan staat het verdedigingsmodel waarmee de meeste grote organisaties nog werken, "vind het gat, dicht het gat", tegenover een aanvaller die er maar één van hoeft te kunnen misbruiken. Ondertussen moet de verdediger ze allemaal tegelijk beheersen.

Dat is geen securityprobleem. Dat is een probleem van asymmetrie.

De asymmetrie: één deur tegenover zeven

Bekijk de rekensom vanuit het perspectief van de aanvaller.

Een moderne ransomware-operator (een groep die aan een staat gelieerd is, een RaaS-affiliate of een zelfstandige crew) hoeft niet elke zwakke plek in uw omgeving te vinden en te misbruiken. Hij heeft één bruikbaar pad nodig: één ongepatcht systeem, één set gecompromitteerde credentials, één verkeerd geconfigureerde cloudbucket, één gebruiker die vatbaar is voor phishing, één gat in het beheer.

Bekijk de rekensom nu vanuit het perspectief van de verdediger. U bent verantwoordelijk voor:

1. Kwetsbaarheidsbeheer over duizenden assets, in cycli die geen enkel patchritme betrouwbaar voorblijft.
2. Identiteitsbeheer over menselijke gebruikers, serviceaccounts, gefedereerde identiteiten en in toenemende mate autonome agents.
3. Security van e-mail en samenwerkingstools, een belangrijk toegangspunt en het punt met de meeste menselijke variatie. In de Sophos-enquête waren kwaadaardige e-mail en phishing samen de grondoorzaak van 37% van de aanvallen.
4. Endpointbescherming tegen payloads die sneller evolueren dan detectie op basis van signatures zich kan aanpassen.
5. Netwerksegmentatie ontworpen tegen dreigingsmodellen die voortdurend veranderen.
6. Configuratie van cloud en SaaS over tientallen of honderden diensten, elk met een eigen rechtenmodel.
7. Back-up- en herstelinfrastructuur die moet werken onder omstandigheden die de rest van uw stack al niet heeft kunnen voorkomen.

De aanvaller speelt op één vakje van dit bord. De verdediger speelt op alle zeven, elke dag, met beperkte middelen.

Deze zeven domeinen zijn onze indeling, niet de zeven antwoordopties van Sophos. De lijst van Sophos beschrijft organisatorische omstandigheden zoals expertise, capaciteit en onbekende gaten, en die lopen dwars door alle bovenstaande domeinen heen. Het getal 2,7 ondersteunt de asymmetrie nog steeds met data. Slachtoffers beschreven hun aanvallen (de enquête vroeg naar de voorgaande 12 maanden, dus veel ervan vonden plaats in 2024) als het resultaat van gemiddeld bijna drie bijdragende omstandigheden. Dat is geen teken van nalatigheid. Het is een teken dat volledige preventie structureel moeilijk te bereiken is.

Waarom "los gewoon de grondoorzaak op" slechte rekenkunde is

Een gebruikelijke reactie op incidentanalyse is de "grondoorzaak" vaststellen en die verhelpen. De meeste evaluaties na incidenten versterken dat denken. De Sophos-data van 2025 laat zien waarom deze benadering, hoe intuïtief bevredigend ook, voorbijgaat aan hoe slachtoffers zelf beschrijven wat er misging.

Als slachtoffers gemiddeld 2,7 bijdragende factoren noemen, dan is een evaluatie die bij één grondoorzaak stopt waarschijnlijk onvolledig. Ze vertelt u door welke deur de aanvaller naar binnen liep. Ze vertelt u niet waarom het gebouw zoveel onafgesloten deuren had dat er altijd wel een beschikbaar zou zijn.

Dat doet er operationeel toe. Middelen die worden besteed aan de specifieke toegangsroute van het incident van vorig jaar, worden niet besteed aan de architectuurgaten die volgend jaar de doorslag geven. Onze lezing van de Sophos-data is dat organisaties die in de modus van één grondoorzaak werken waarschijnlijk te weinig investeren in de gelaagde maatregelen die bepalen of welke toegangsroute dan ook tot een catastrofale uitkomst leidt.

De strategische herkadering is deze: in elke voldoende complexe omgeving van een grote organisatie vinden aanvallers uiteindelijk een bruikbaar pad. De vraag die bepaalt of dat pad tot een betaald losgeld leidt, is niet "hebben we elke deur gesloten?", maar "overleeft onze architectuur het als er één opengaat?"

De compenserende maatregel die de meeste grote organisaties onderschatten

Dit is het architectuurinzicht waar het getal 2,7 naar wijst: als preventie met enige regelmaat faalt, verschuiven de lagen die de bedrijfsuitkomst bepalen stroomafwaarts.

Hier schuift back-uparchitectuur op van "infrastructuurhygiëne" naar "primaire strategische maatregel".

In een dreigingsmodel met één aanvalsvector is back-up een terugvaloptie. In een dreigingsmodel met meerdere factoren is back-up de compenserende maatregel voor de preventiefouten die zich zullen voordoen. Het eerste rapport State of Ransomware in Enterprise 2025 van Sophos, gebaseerd op de 1.733 respondenten van organisaties met 1.000 tot 5.000 medewerkers, laat zien wat er op het spel staat:

• 48% van de slachtoffers in grote organisaties waarvan de data was versleuteld, betaalde het losgeld om die terug te krijgen, tegenover 55% in 2024.
• Het gebruik van back-ups om versleutelde data terug te zetten daalde bij grote organisaties naar 53%, het laagste niveau in vier jaar, tegenover 73% in 2024.
• Organisaties met 1.000–5.000 medewerkers gaven gemiddeld $1,83 miljoen uit aan herstel, zonder eventueel betaald losgeld, volgens het hoofdrapport van 2025.

Sophos leest de cijfers over betalen en over back-ups samen als wijzend "to stronger resistance to demands together with weaknesses and lack of backup resilience." (op sterkere weerstand tegen eisen, samen met zwakke punten en een gebrek aan weerbaarheid van back-ups). Het merkt ook op dat 30% van de grote organisaties met versleutelde data andere middelen gebruikte om die terug te zetten, dus de daling in het gebruik van back-ups is niet alleen een verhaal van falende back-ups. Toch is het beeld samenhangend. Minder aanvallen komen tot versleuteling, maar als dat wel gebeurt, droegen back-ups het herstel in slechts ongeveer de helft van de gevallen bij grote organisaties. Het gat tussen de volwassenheid van preventie en die van herstel is precies waar losgeldbetalingen ontstaan.

Voor risicoverantwoordelijken in grote organisaties betekent dit een specifieke verschuiving van aandacht in de architectuur. Investeringen in detectie, identiteit en patching blijven allemaal essentieel. Maar geen ervan neemt de 2,7 weg. Ze verschuiven alleen welke drie deuren op een bepaalde dag openstaan. De maatregel die bepaalt of een geopende deur uitgroeit tot een incident dat het voortbestaan bedreigt, is de maatregel die de meeste organisaties te weinig hebben gemoderniseerd: de architectuur die schone, immutable, gevalideerde kopieën van bedrijfskritieke data bewaart en die onder vijandige omstandigheden kan terugzetten.

Hoe 2,7 er in een incident uit kan zien

Sophos splitst de 2,7 niet uit in een volgorde, dus wat volgt is onze illustratie van hoe bijdragende factoren in de omgeving van een grote organisatie op elkaar kunnen stapelen, geen enquêtedata:

Factor één is meestal een toegangsroute: een ongepatcht edge-apparaat, een gecompromitteerde credential die op meerdere systemen wordt hergebruikt, of een geslaagde phishingmail. Dit is de fout die het rapport na het incident de "grondoorzaak" zal noemen.

Factor twee is doorgaans een fout in rechten of zichtbaarheid waardoor de eerste voet aan de grond kon uitgroeien: te ruime permanente rechten, gaten in de detectie van laterale beweging, of onvoldoende segmentatie tussen bedrijfsonderdelen.

Factor drie is de factor waarop wij ons richten: een fout in de herstellaag die een beheersbare inbraak omzet in een betaald losgeld. Back-upcredentials die vanuit productie bereikbaar zijn, retentiebeleid dat door gecompromitteerde beheerders kan worden gewijzigd, of restoreprocedures die nooit zijn getest tegen het scenario waarmee het team nu te maken heeft. Sophos heeft hier één beperkt datapunt: in het hoofdrapport van 2025 zei 38% van de 151 organisaties die meer betaalden dan de oorspronkelijke losgeldeis dat hun back-ups hadden gefaald of niet goed werkten.

De eerste twee factoren krijgen de aandacht bij incident response. De derde bepaalt vaak de financiële uitkomst, en is moeilijk eerlijk te beoordelen totdat een incident de vraag afdwingt.

Dat is de operationele werkelijkheid waar het getal 2,7 naar wijst. De factoren zijn niet abstract: samen vormen ze de reeks fouten die een beheersbare securitygebeurtenis omzet in een crisis op bestuursniveau.

Wat dit betekent voor de verdeling van risico en middelen

Als u de bevinding van 2,7 als betekenisvol voor de architectuur accepteert (en een enquête onder 3.400 getroffen organisaties maakt het moeilijk haar weg te wuiven), volgen er verschillende conclusies over de verdeling van middelen.

Spreid investeringen over de hele keten van fouten, niet binnen één laag. Extra inzetten op e-mailsecurity terwijl de herstelarchitectuur ongewijzigd blijft, verschuift welke factor als eerste faalt; het vermindert het totale aantal fouten niet. Securitybudgetten van grote organisaties die onevenredig veel naar preventie laten gaan en back-up als standaardpost behandelen, werken tegen een dreigingsmodel dat niet weerspiegelt hoe slachtoffers hun incidenten beschrijven.

Beoordeel architecturen aan de hand van scenario's met meerdere factoren, niet met tests op één vector. Een test die bevestigt dat één verdediging standhoudt, is geen bewijs dat uw omgeving een echte aanval overleeft. In de Sophos-enquête noemden slachtoffers gemiddeld bijna drie bijdragende factoren. Tabletop-oefeningen en red-team-opdrachten moeten zo worden ontworpen dat ze die samengestelde situatie expliciet testen.

Meet vertrouwen in herstel, niet voltooide back-ups. Sophos zegt niet waarom het gebruik van back-ups bij grote organisaties daalde naar 53%, en een deel van de daling komt door andere herstelmethoden. Onze lezing is dat veel back-uparchitecturen zijn ontworpen voor fouten met één factor (een server ging kapot, een gebruiker verwijderde een bestand) en nu moeten presteren onder omstandigheden met meerdere factoren (de aanvaller zit al twee weken in het netwerk en heeft overal aangezeten). Dat zijn verschillende problemen. De eigen aanbeveling van Sophos is om "make quality backups and regularly practice restoring data from them." (back-ups van goede kwaliteit te maken en regelmatig te oefenen met het terugzetten van data daaruit).

Behandel de herstellaag als de compenserende maatregel die ze is geworden. Als preventie soms zal falen, is de laag die de uitkomst bepaalt de laag die schone, geïsoleerde, immutable kopieën van data bewaart en die onder vijandige omstandigheden snel kan terugzetten. Die laag moet met dezelfde grondigheid worden ontworpen, beheerd en getest als de productieomgeving die ze beschermt.

Waar BackupSec in beeld komt

Bij BackupSec is onze aanpak gebouwd rond één uitgangspunt: preventie faalt uiteindelijk ergens, en als dat gebeurt, bepaalt de herstellaag of de fout herstelbaar is of het voortbestaan bedreigt.

Drie van onze diensten sluiten aan op de vragen die het getal 2,7 oproept:

• ZeroMON beantwoordt "Wat doet onze back-upomgeving op dit moment eigenlijk?" Het monitort Veeam Backup & Replication: gezondheid van jobs, configuratiewijzigingen met wie, wat en wanneer (Forensic & Audit), een checklist van de Security Analyzer, rapporten en een honeypot op de monitoringappliance. Het toont de immutability-status zoals de eigen repository-instellingen van Veeam die rapporteren; het leest de configuratie van Veeam uit en verifieert geen locks op objectniveau in de storage. Alerts gaan uit per e-mail en als melding in de applicatie. ZeroMON wordt on-premises uitgerold als OVA, maakt verbinding met een read-only account en stuurt niets naar BackupSec of een andere derde partij.
• ZeroTAM beantwoordt "Hebben we de expertise om te duiden wat we zien?" Dat is de vraag achter de meest genoemde factor in de lijst van Sophos. Een vaste adviseur voor back-upsecurity dekt architectuur, planning van herstel na ransomware en capaciteit, met ondersteuning met voorrang tijdens een crisis. Het is advies, geen software.
• ZeroPEN beantwoordt "Hoe ver zou een aanvaller komen tegen onze back-ups?" Het is een threat-led penetratietest van Veeam Backup & Replication, Veeam ONE en Enterprise Manager die een ransomware-kill chain simuleert in acht fasen, gekoppeld aan MITRE ATT&CK, van initiële toegang via het uitschakelen van back-ups tot een bewijs van versleutelingsvermogen. De test is niet-destructief: hij "never deletes real backups, performs real encryption, or stops production or backup services." (verwijdert nooit echte back-ups, voert nooit echte versleuteling uit en stopt nooit productie- of back-upservices). Bevindingen worden geleverd met audit-klaar bewijs, en kritieke bevindingen worden opnieuw getest.

We vervangen uw back-upplatform niet. We helpen de herstellaag die het ondersteunt observeerbaar, begrepen en getest te maken tegen de omstandigheden met meerdere factoren die de Sophos-data beschrijft.

Als uw organisatie het Sophos-rapport van 2025 leest en concludeert dat het antwoord is om elke deur te sluiten, dan vertelt de data u iets anders: de deuren blijven niet allemaal dicht, en de architectuur die bepaalt wat er gebeurt als er één opengaat, is het gesprek dat in 2026 de moeite waard is.

Praat met BackupSec →

Deze analyse steunt op de rapporten State of Ransomware 2025 en State of Ransomware in Enterprise 2025 van Sophos. De interpretatie en het kader zijn van BackupSec zelf. Wilt u bespreken hoe deze analyse op uw omgeving van toepassing is, neem dan contact op met ons team →