De saaiste bevinding in het Sophos-rapport van 2025 is ook de belangrijkste
Elk jaar wordt er in de ransomwarediscussie luider gesproken over nieuwe aanvalstechnieken. Door AI gegenereerde phishing. Deepfake-social engineering. Adversarial machine learning. Living-off-the-land-binaries. Supply chain-compromittering via obscure dependencies. Het verhaal suggereert steevast dat verdedigers voor een fundamenteel nieuwe dreiging staan die fundamenteel nieuwe tools vereist.
En elk jaar komt het State of Ransomware-rapport van Sophos, gebaseerd op een leveranciersonafhankelijk onderzoek onder duizenden slachtoffers, terug met hetzelfde ouderwetse antwoord.
Voor het derde jaar op rij zijn misbruikte kwetsbaarheden de meest voorkomende technische hoofdoorzaak van ransomware-incidenten — verantwoordelijk voor 32% van de aanvallen in 2025.
Geen nieuwe AI-technieken. Geen zero-days. Geen exotische supply chain-aanvallen. Patches die bestonden maar niet werden toegepast. Configuraties waarvan bekend was dat ze fout waren. CVE's met publiek beschikbare exploits en adviezen van leveranciers die in een wachtrij belandden en er nooit meer uit kwamen.
Dit is de bevinding die elke security-verantwoordelijke binnen een organisatie ongemakkelijk zou moeten stemmen, want ze is niet op te lossen door een nieuwe tool aan te schaffen. Het is een structureel probleem in de manier waarop enterprise-omgevingen technische schuld opbouwen — en de data van 2025 suggereert dat geen enkele investering in geavanceerde detectie deze kloof dicht.
Bij BackupSec beschouwen we het feit dat misbruik van kwetsbaarheden hardnekkig de hoofdoorzaak nummer 1 blijft, als een strategisch signaal: de kloof tussen bekende beveiligingszwakheden en gedichte beveiligingszwakheden is de meest betrouwbare voorspeller van welke organisaties volgend jaar in de kolom "losgeld betaald" terechtkomen. Dit artikel gaat na waarom die kloof blijft bestaan, waarom preventie deze kloof niet alleen kan dichten, en wat de architecturale implicaties zijn voor organisaties die in 2026 opereren.
Wat de Sophos-data daadwerkelijk laat zien
Voor het Sophos-rapport van 2025 werden 3,400 IT- en cybersecurityverantwoordelijken in 17 landen ondervraagd, allemaal afkomstig van organisaties die in de voorafgaande twaalf maanden waren getroffen door ransomware. Op de vraag naar de technische hoofdoorzaak van hun incident bleek de verdeling van jaar tot jaar opvallend consistent:
- Misbruikte kwetsbaarheden: 32% van de aanvallen — al drie jaar op rij de hoofdoorzaak nummer 1.
- Gecompromitteerde inloggegevens: 23% — een daling ten opzichte van 29% in 2024.
- Kwaadaardige e-mail: 19%.
- Phishing: 18% — een stijging ten opzichte van 11% het jaar ervoor.
De sectorspecifieke rapporten bevestigen dit patroon. In de maakindustrie waren misbruikte kwetsbaarheden verantwoordelijk voor 32% van de incidenten — opnieuw de belangrijkste oorzaak. In de retail lag dit cijfer op 30%, eveneens de belangrijkste oorzaak. In vrijwel elke sector die Sophos afzonderlijk publiceerde, blijft dezelfde bevinding gelden: een derde van alle succesvolle ransomware-aanvallen begint bij een kwetsbaarheid die de leverancier al had gepatcht, waarvan het securityteam zich in theorie bewust was, en waar de aanvaller simpelweg eerder bij was.
Wat deze bevinding strategisch belangrijk maakt, is niet alleen haar consistentie. Het is het feit dat ze de hoofdoorzaak nummer 1 is gebleven, ondanks drie jaar van intensieve investeringen door de sector in tools voor kwetsbaarhedenbeheer, attack surface management-platforms, exposure assessment-diensten en patchautomatisering. De investeringen zijn aanzienlijk geweest. Het resultaat is ongewijzigd gebleven.
Dat zou ons iets architecturaals over het probleem moeten vertellen.
Waarom patchen faalt — zelfs wanneer organisaties het wél doen
De intuïtieve reactie op "32% van de aanvallen begint bij bekende kwetsbaarheden" is "dan moeten we sneller patchen." Die reactie is correct, maar operationeel onvoldoende, en het is de moeite waard om eerlijk te onderzoeken waarom ze tekortschiet.
Het noemerprobleem. Een typische middelgrote onderneming beheert duizenden afzonderlijke softwarecomponenten, verspreid over besturingssystemen, applicaties, firmware, containerimages en SaaS-configuraties. Adviezen van leveranciers komen continu binnen. Zelfs een securityteam dat op topniveau opereert, kan niet elke component patchen op de dag dat een CVE wordt gepubliceerd. De noemer van "dingen die misbruikt zouden kunnen worden" is structureel groter dan de capaciteit van "dingen die deze week gepatcht kunnen worden."
Het criticaliteitsprobleem. Veel patches vereisen downtime, regressietests of afstemming met business owners die de continuïteit van de omzet willen beschermen. De systemen die het meest om patches vragen — de extern gerichte applicaties, de legacy productiesystemen, de OT- en industriële besturingsinfrastructuur — zijn vaak juist de systemen waarbij de zakelijke kosten van downtime het hoogst zijn. Patches worden dus ingepland, uitgesteld, gebundeld en uiteindelijk vergeten. Aanvallers weten dit; ze richten zich specifiek op de categorieën systemen die het meest waarschijnlijk onderhoudsschuld met zich meedragen.
Het ontdekkingsprobleem. Je kunt niet patchen wat je niet ziet. Uit de eigen data van Sophos blijkt dat onbekende beveiligingslacunes door meer dan 40% van de slachtoffers werden genoemd als bijdragende factor. Specifiek in de retail was 46% van de incidenten terug te voeren op onbekende lacunes. Dit zijn geen kwetsbaarheden die organisaties ervoor kozen niet te patchen — het zijn kwetsbaarheden waarvan organisaties niet wisten dat ze bestonden. Shadow IT, ongedocumenteerde systemen, vergeten cloud-workloads, integraties met derden met hun eigen afhankelijkheden: het moderne enterprise-aanvalsoppervlak is werkelijk lastig volledig in kaart te brengen, en juist in de kloof tussen wat je asset-inventaris laat zien en wat een aanvaller daadwerkelijk kan bereiken, bevinden zich de meeste misbruikte kwetsbaarheden.
Het tijdvensterprobleem. Zelfs wanneer een kwetsbaarheid bekend is en er een patch beschikbaar is, is de tijd tussen bekendmaking en actief misbruik drastisch afgenomen. Dreigingsactoren volgen adviezen van leveranciers even nauwgezet als securityteams dat doen, en bruikbare exploits voor CVE's met grote impact verschijnen tegenwoordig doorgaans al binnen enkele dagen — soms uren — na bekendmaking. Het patchvenster dat vijf jaar geleden nog bestond, bestaat niet meer voor enige kwetsbaarheid die ernstig genoeg is om aandacht te trekken.
Geen van deze problemen wordt opgelost door nog een tool voor kwetsbaarhedenbeheer aan te schaffen. Het zijn structurele kenmerken van hoe enterprise-omgevingen functioneren, en ze verklaren waarom het cijfer van 32% al drie jaar niet beweegt, ondanks enorme defensieve investeringen.
De AI-afleiding
Het is de moeite waard om dit direct te benoemen: de Sophos-data van 2025 vormt ook een nuttige correctie op het dominante verhaal over door AI gedreven aanvallen.
Het sectorbrede gesprek in 2025 draaide voor een groot deel om door AI gegenereerde phishingcampagnes, door deepfakes gedreven social engineering en door machine learning mogelijk gemaakte ontwijkingstechnieken. Deze dreigingen zijn reëel en verdienen aandacht — zeker gezien onderzoek dat aantoont dat een grote meerderheid van phishing-e-mails inmiddels door AI gegenereerde inhoud bevat.
Maar de Sophos-data vormt een nuttige realitycheck op de vraag waar budget en aandacht daadwerkelijk naartoe zouden moeten gaan. Door AI versterkte phishing draagt bij aan de stijging van phishing-gerelateerde incidenten (van 11% naar 18% jaar op jaar). Ze verdringt echter niet de exploitatie van kwetsbaarheden als dominante toegangsvector. Het derde deel van alle aanvallen dat begint bij ongepatchte systemen wordt niet kleiner omdat aanvallers toegang hebben tot betere taalmodellen. Sterker nog, het AI-gesprek heeft eerder gefunctioneerd als afleiding van het weinig glamoureuze, structurele probleem dat al drie jaar op rij stilletjes een derde van alle ransomware-incidenten veroorzaakt.
De strategische implicatie voor risicoverantwoordelijken binnen organisaties is om sceptisch te blijven tegenover elk verhaal van leveranciers dat suggereert dat de belangrijkste defensieve investering ook de nieuwste is. De Sophos-data wijst in een andere richting: de belangrijkste defensieve investering is misschien juist die investering die het saaie, structurele probleem van kwetsbaarhedenbeheer minder bepalend maakt voor het uiteindelijke resultaat.
Wat "minder bepalend" eigenlijk betekent
Dit is het architecturale inzicht dat volgt uit de acceptatie dat misbruik van kwetsbaarheden nooit volledig te elimineren is: als een derde van alle aanvallen zal blijven beginnen bij een patch die je niet op tijd hebt toegepast, dan verschuift de strategische vraag van "hoe patchen we sneller?" naar "wat gebeurt er als dat niet lukt?"
Dit is de vraag die de meeste enterprise-securityarchitecturen nog altijd uit de weg gaan.
In een verdedigingsmodel waarin wordt aangenomen dat preventie werkt, wordt misbruik van kwetsbaarheden behandeld als een fout die geëlimineerd moet worden. In een verdedigingsmodel dat de Sophos-data serieus neemt, wordt misbruik van kwetsbaarheden behandeld als een terugkerende conditie die de rest van de architectuur moet opvangen zonder dat dit tot catastrofale gevolgen leidt.
De verschuiving van eliminatie naar absorptie is dezelfde architecturale omslag die volwassen reliability engineering een decennium geleden al doormaakte. Je elimineert geen storingen in gedistribueerde systemen. Je ontwerpt systemen die bij storingen op een gecontroleerde manier degraderen (graceful degradation). Je meet de gemiddelde hersteltijd (mean time to recovery), niet alleen de gemiddelde tijd tussen storingen (mean time between failures). Je behandelt veerkracht als een primaire architecturale eigenschap, niet als een secundaire opruimactie nadat preventie heeft gefaald.
Enterprise security begint, heel langzaam, dezelfde logica toe te passen. De Sophos-data van 2025 is, in onze lezing, tot dusver het sterkste empirische bewijs dat deze overgang hoognodig is.
Waar backuparchitectuur het kantelpunt wordt
Wanneer een kwetsbaarheid wordt misbruikt en een aanvaller voet aan de grond krijgt, is de reeks gebeurtenissen die daarop volgt goed gedocumenteerd: laterale beweging, escalatie van rechten, verkenning van waardevolle data, exfiltratie en uiteindelijk de inzet van de ransomware-payload. Moderne dreigingsactoren brengen gemiddeld 12 tot 22 dagen door binnen gecompromitteerde omgevingen voordat ze ransomware inzetten — tijd die ze specifiek gebruiken om de controles te identificeren en te neutraliseren die anders herstel mogelijk zouden maken.
De belangrijkste van die controles is de backupomgeving.
Als je backupinfrastructuur bereikbaar is vanaf een systeem waar een misbruikte kwetsbaarheid het startpunt vormde, dan heeft die kwetsbaarheid niet alleen een aanval mogelijk gemaakt — ze heeft de aanval doen winnen. De misbruikte CVE op een extern gerichte applicatie wordt architecturaal significant, niet vanwege wat ze doet op de host waar ze werd misbruikt, maar vanwege wat ze een aanvaller in staat stelt te doen met je herstellaag gedurende de daaropvolgende twee weken.
Dit is het architecturale kantelpunt dat uit de Sophos-data volgt. Misbruik van kwetsbaarheden zal voorlopig de hoofdoorzaak nummer 1 blijven. De variabele die het resultaat bepaalt, is of je herstelarchitectuur bereikbaar is vanaf de systemen waar die kwetsbaarheden onvermijdelijk misbruikt zullen worden.
Concreet betekent dit:
Identiteitsscheiding. De inloggegevens die productiesystemen beschermen, mogen geen toegang geven tot backupinfrastructuur. Als een gecompromitteerd domeinbeheerdersaccount je backup-repository kan bereiken, dan maken je backups deel uit van het aanvalsoppervlak dat door de ongepatchte kwetsbaarheid werd blootgelegd.
Gevalideerde onveranderlijkheid. Softwarematige retentiebeleidsregels kunnen worden aangepast door iedereen met voldoende rechten. Door hardware of door het platform afgedwongen retentievergrendelingen zijn ontworpen om daaraan weerstand te bieden — maar de kloof tussen "geconfigureerd" en "daadwerkelijk werkend zoals bedoeld" is waar veel enterprise-backupomgevingen falen tijdens echte incidenten. Of je onveranderlijkheid nu wordt afgedwongen door je backupplatform, je opslaglaag of een geharde repository, wat telt is of ze getest is onder vijandige omstandigheden, en niet slechts ingeschakeld in een instellingenpaneel.
Netwerk- en trustisolatie. Een backupomgeving die zich in hetzelfde netwerkdomein bevindt als productiesystemen, maakt vanuit het perspectief van dreigingsmodellering deel uit van die productieomgeving. Logische en fysieke isolatie zijn wat backupinfrastructuur verandert van "nog een doelwit" in "de laag die standhoudt wanneer andere doelwitten dat niet doen."
Continue restorevalidatie. Een backup die niet is getest tegen de specifieke omstandigheden van een echte aanval, is een hypothese, geen controle. De data van 2025 laat zien dat 53% van de organisaties bij succesvolle ransomware-incidenten geen backups gebruikte om te herstellen, ondanks dat er backups aanwezig waren. De meest waarschijnlijke verklaring is dat de backups die ze hadden nooit gevalideerd waren tegen de scenario's die zich in werkelijkheid voordeden. Om je hiertegen te wapenen is testen nodig, niet alleen draaien.
De strategische herkadering
Voor risicoverantwoordelijken binnen organisaties is het feit dat misbruik van kwetsbaarheden hardnekkig de hoofdoorzaak nummer 1 blijft, geen veroordeling van programma's voor kwetsbaarhedenbeheer. Het is bewijs dat kwetsbaarhedenbeheer — hoe goed ook uitgevoerd — structureel niet in staat is om het volledige gewicht van ransomwaredefensie alleen te dragen.
De Sophos-bevinding dat 32% van de aanvallen begint bij bekende kwetsbaarheden moet in samenhang worden gelezen met de bevinding dat 48% van de getroffen organisaties het losgeld betaalde. Die cijfers houden verband met elkaar. Ze beschrijven een defensieve houding waarin van preventie wordt verwacht dat ze onfeilbaar is, omdat op de herstellaag niet kan worden vertrouwd. De strategische correctie is niet om preventie nog onfeilbaarder te maken — het is om herstel betrouwbaar genoeg te maken zodat het falen van preventie de bedrijfsresultaten niet bepaalt.
Die correctie is architecturaal. Ze is bovendien hoognodig. De organisaties die deze kloof in de komende twaalf maanden dichten, zijn de organisaties wier herstellaag het onvermijdelijke derde deel van de incidenten kan opvangen dat zal blijven beginnen bij een ongepatcht systeem. De organisaties die dat niet doen, zullen jaar na jaar blijven terugkeren in dezelfde regel van het Sophos-rapport.
Waar BackupSec in beeld komt
Bij BackupSec is onze dienstverlening gebouwd op de premisse dat preventie zal falen in ongeveer de verhouding die de Sophos-data beschrijft — en dat de laag die dan het resultaat bepaalt, de herstelinfrastructuur is die schone, geïsoleerde kopieën van bedrijfskritische data bevat, samen met de operationele discipline die aantoont dat deze daadwerkelijk hersteld kunnen worden.
Elk van onze drie diensten pakt een specifieke lacune aan die wordt blootgelegd doordat misbruik van kwetsbaarheden hardnekkig de hoofdoorzaak nummer 1 blijft:
- ZeroMON biedt continue observability over backupoperaties, configuratiedrift en securitysignalen — zodat wanneer een kwetsbaarheid wordt misbruikt en een aanvaller twee weken binnen het netwerk doorbrengt, de verkenningsactiviteit gericht op je backupomgeving zichtbaar is, in plaats van onopgemerkt te blijven.
- ZeroTAM geeft je team een toegewijde backupsecurity-adviseur voor architectuurbeslissingen, capaciteitsplanning en herstelstrategie — en pakt daarmee de structurele kennis- en capaciteitskloof aan die bepaalt of je backuplaag bereikbaar is vanaf de systemen die het meest waarschijnlijk gecompromitteerd raken via ongepatchte kwetsbaarheden.
- ZeroPEN is naar onze mening de meest directe reactie op de 32%-bevinding. We voeren pentests uit op je backupbeheerlagen, toegangscontroles, instellingen voor onveranderlijkheid en isolatiehouding, op dezelfde manier als een aanvaller die begint bij een misbruikte kwetsbaarheid dat zou doen — en vervolgens draaien we echte restorescenario's om te valideren dat herstel schoon, volledig en op tijd verloopt. Het resultaat is geen lijst met bevindingen die verholpen moeten worden. Het is gedocumenteerd bewijs dat je backuplaag standhoudt onder de specifieke omstandigheden die de Sophos-data beschrijft.
BackupSec wordt on-premise ingezet. We maken verbinding met je backupapplicaties via alleen-lezen API-toegang. Je backupdata, telemetrie en configuratiedetails blijven binnen jouw omgeving.
Het cijfer van 32% is geen lot dat vaststaat. Het is een beschrijving van een structurele conditie die alleen het resultaat bepaalt wanneer de herstellaag zo is ingericht dat ze samen met de preventielaag faalt. Organisaties die deze twee ontkoppelen, worden niet langer kwetsbaar voor de dominante hoofdoorzaak van ransomware in 2026 — niet omdat ze sneller patchten, maar omdat ze hebben gevalideerd dat patchen niet bepalend is voor hun herstelresultaten.
Praat met BackupSec over backup-penetratietests en herstelvalidatie →
Deze analyse is gebaseerd op het State of Ransomware-rapport 2025 van Sophos en het bredere onderzoekslandschap rond ransomware in 2025. De interpretatie en het kader die hier worden gepresenteerd, zijn van BackupSec zelf. Wil je bespreken hoe deze analyse van toepassing is op jouw specifieke omgeving, neem dan contact op met ons team →