De saaiste bevinding in de Sophos-data is ook de belangrijkste
Elk jaar wordt het gesprek over ransomware luider als het gaat om nieuwe aanvalstechnieken. Door AI gegenereerde phishing. Social engineering met deepfakes. Adversarial machine learning. Living-off-the-land-binaries. Compromittering van de supply chain via obscure afhankelijkheden. Het verhaal suggereert steevast dat verdedigers tegenover een fundamenteel nieuwe dreiging staan die fundamenteel nieuwe tools vraagt.
Drie enquêtes op rij kwam het Sophos-rapport State of Ransomware met een minder modieus antwoord. De editie van 2025 vat het in één regel samen:
"For the third year running, victims identified exploited vulnerabilities as the most common technical root cause of attack, used in 32% of incidents."
(Voor het derde jaar op rij noemden slachtoffers misbruikte kwetsbaarheden als de meest voorkomende technische grondoorzaak van de aanval, gebruikt bij 32% van de incidenten.)
Geen exotische techniek. Een fout in software die het slachtoffer al draaide, gebruikt als toegangsweg. Sophos splitst die categorie niet uit in zero-days en kwetsbaarheden waarvoor al een patch bestond, dus de enquête kan niet zeggen hoeveel van die incidenten op de dag van de aanval te patchen waren. Wat ze wel zegt, is dat slachtoffers drie jaar lang geen enkel ander toegangspunt vaker noemden.
Die reeks is inmiddels voorbij. In de editie van 2026 zakten misbruikte kwetsbaarheden naar 18%, achter kwaadaardige e-mail (26%), phishing (24%) en gecompromitteerde credentials (23%). We komen hieronder op die verschuiving terug, omdat ze het argument eerder scherper maakt dan zwakker: het belangrijkste toegangspunt veranderde binnen één jaar, en het herstelprobleem van de verdediger veranderde niet mee.
Bij BackupSec lezen we de reeks van drie jaar als een strategisch signaal. Het gat tussen bekende zwakke plekken in de security en gedichte zwakke plekken slinkt niet in het tempo van preventie. Dit artikel bekijkt waarom dat gat blijft bestaan, waarom preventie alleen het niet kan dichten, en wat dat betekent voor back-uparchitectuur in 2026.
Wat de Sophos-data eigenlijk laat zien
Het Sophos-rapport van 2025 is gebaseerd op een onafhankelijke, leveranciersneutrale enquête in opdracht van Sophos, uitgevoerd door een externe specialist tussen januari en maart 2025. Het omvat 3.400 IT- en cybersecurityleiders in 17 landen, allemaal bij organisaties met 100 tot 5.000 medewerkers die in de voorgaande twaalf maanden door ransomware waren getroffen. Sophos vernoemt elk rapport naar het jaar waarin de enquête liep en merkt op dat "many of the attacks referenced occurred in 2024." (veel van de genoemde aanvallen in 2024 plaatsvonden). De vraag naar de grondoorzaak werd door alle 3.400 respondenten beantwoord:
- Misbruikte kwetsbaarheden: 32% van de aanvallen, voor het derde jaar op rij oorzaak nummer 1 (36% in het rapport van 2023, 32% in dat van 2024).
- Gecompromitteerde credentials: 23%, tegenover 29% in 2024.
- Kwaadaardige e-mail: 19%.
- Phishing: 18%, tegenover 11% het jaar ervoor.
De sectorrapporten op basis van dezelfde enquête van 2025 volgen grotendeels dat patroon. In de maakindustrie waren misbruikte kwetsbaarheden met 32% de belangrijkste oorzaak. In de retail stonden ze met 30% voor het derde jaar op rij bovenaan. Niet elke sector past in het plaatje: in de zorg stonden misbruikte kwetsbaarheden met 33% bovenaan "for the first time in three years." (voor het eerst in drie jaar). Het patroon was breed, niet universeel.
Eén kanttekening bij de enquête zelf. Ze legt vast wat slachtoffers denken dat de grondoorzaak was, en de eigen incidentdata van Sophos leest iets anders. In de incident-response- en MDR-zaken uit 2024 in het 2025 Active Adversary Report stonden gecompromitteerde credentials bovenaan (41%) en kwamen misbruikte kwetsbaarheden op de tweede plaats (22%). Hoe dan ook staat misbruik van kwetsbaarheden bovenaan of er vlak onder.
Wat de enquêtebevinding belangrijk maakt, is haar hardnekkigheid. Het aandeel zakte van 36% naar 32% en bleef daar, en drie jaar lang haalde niets het in.
Dat zou ons iets moeten vertellen over de architectuur van het probleem.
Waarom patchen tekortschiet, ook als organisaties het doen
De intuïtieve reactie op "een derde van de aanvallen begint met een misbruikte kwetsbaarheid" is "dan moeten we sneller patchen". Die reactie is juist maar operationeel onvoldoende, en de redenen waarom ze tekortschiet verdienen een eerlijke blik.
Het noemerprobleem. Een middelgrote organisatie draait al snel duizenden afzonderlijke softwarecomponenten in besturingssystemen, applicaties, firmware, container-images en SaaS-configuraties. Advisories van leveranciers komen voortdurend binnen. Zelfs een securityteam in topvorm kan niet elk onderdeel patchen op de dag dat een CVE wordt gepubliceerd. De noemer van "dingen die misbruikt kunnen worden" is structureel groter dan de capaciteit voor "dingen die deze week gepatcht kunnen worden".
Het kritikaliteitsprobleem. Veel patches vragen om downtime, regressietests of afstemming met business-eigenaren die hun omzet beschermen. De systemen die het meest gepatcht moeten worden (applicaties die naar buiten gericht zijn, legacy productiesystemen, OT en industriële besturingsinfrastructuur) zijn vaak de systemen waar downtime het meest kost. Dus worden patches ingepland, uitgesteld, gebundeld en uiteindelijk vergeten. Die onderhoudsschuld is precies waar een aanvaller die een ingang zoekt als eerste kijkt.
Het ontdekkingsprobleem. U kunt niet patchen wat u niet ziet. In de Sophos-enquête van 2025 waren securitygaten waarvan de organisatie zich niet bewust was een bijdragende factor bij 40,1% van de aanvallen, net achter gebrek aan expertise (40,2%). Respondenten noemden gemiddeld 2,7 bijdragende factoren, dus dit zijn bijdragende oorzaken, geen enige oorzaken. In de retail waren onbekende securitygaten de meest genoemde operationele oorzaak, genoemd door 46% van de slachtoffers. Shadow IT, ongedocumenteerde systemen, vergeten cloudworkloads en integraties met derden met hun eigen afhankelijkheidsbomen maken het moderne aanvalsoppervlak echt moeilijk in kaart te brengen. Het gat tussen wat uw asset-inventaris toont en wat een aanvaller werkelijk kan bereiken, is waar veel misbruikte kwetsbaarheden zich bevinden.
Het vensterprobleem. Zelfs als een kwetsbaarheid bekend is en er een patch bestaat, is de tijd tot misbruik ingestort. De analyse van Mandiant naar time-to-exploit mat gemiddeld 63 dagen in 2018–2019, 32 dagen over 2021–2022 en vijf dagen in 2023. Van de gevolgde kwetsbaarheden die werden misbruikt nadat er een patch beschikbaar was, werd 12% binnen één dag misbruikt en 29% binnen één week. En 70% van de misbruikte kwetsbaarheden die Mandiant in 2023 volgde, werd als zero-day gebruikt, voordat er überhaupt een patch bestond. Het patchvenster van een paar jaar geleden is verdwenen.
Geen van deze problemen wordt opgelost door nog een tool voor kwetsbaarheidsbeheer te kopen. Het zijn structurele kenmerken van hoe organisaties IT draaien, en ze helpen verklaren waarom misbruikte kwetsbaarheden drie jaar lang bovenaan de lijst van Sophos stonden.
De AI-afleiding
De Sophos-data van 2025 was ook een nuttige correctie op het dominante verhaal over door AI gedreven aanvallen.
Het gesprek in de sector ging in 2025 sterk over door AI gegenereerde phishingcampagnes, social engineering met deepfakes en ontwijking met behulp van machine learning. Deze dreigingen zijn echt en verdienen aandacht. Phishing nam in de enquête van 2025 ook toe, van 11% naar 18% van de aanvallen. Sophos zegt niet hoeveel van die stijging kwam door lokmails die met AI waren geschreven, en wij kunnen dat ook niet zeggen. Wat de data van 2025 wel laat zien, is dat phishing misbruikte kwetsbaarheden niet verdrong als belangrijkste toegangspunt.
De editie van 2026 brengt het beeld verder. Aanvallen via e-mail namen de leiding: kwaadaardige e-mail (26%) en phishing (24%) waren samen goed voor de helft van alle incidenten, terwijl misbruikte kwetsbaarheden 14 punten zakten naar 18%. Ook die verschuiving schrijft Sophos niet toe aan AI.
De praktische les voor risicoverantwoordelijken is sceptisch te zijn over elk verhaal, het onze inbegrepen, dat zegt dat de belangrijkste defensieve investering die in de vector is die dit jaar bovenaan staat. De koploper veranderde binnen twaalf maanden. Een verdediging die ervan afhangt dat één bepaalde deur dicht gaat, gokt op een bewegend doel. De duurzamere investering is die investering die ervoor zorgt dat geen enkele afzonderlijke toegangsvector de uitkomst draagt.
Wat "de uitkomst minder laten dragen" eigenlijk betekent
Dit is het architectuurinzicht dat volgt uit de erkenning dat misbruik van kwetsbaarheden niet volledig uit te bannen is. Als een aanzienlijk deel van de aanvallen blijft beginnen met een fout die u niet op tijd hebt gepatcht (ruwweg een derde in drie opeenvolgende Sophos-enquêtes, en nog steeds bijna een op de vijf in de vierde), dan verschuift de strategische vraag van "hoe patchen we sneller?" naar "wat gebeurt er als we dat niet doen?"
Dat is de vraag die de meeste securityarchitecturen nog steeds ontwijken.
In een verdedigingsmodel waarin wordt aangenomen dat preventie werkt, wordt misbruik van kwetsbaarheden behandeld als een fout die moet worden uitgebannen. In een verdedigingsmodel dat de Sophos-data serieus neemt, wordt het behandeld als een terugkerende omstandigheid die de rest van de architectuur moet opvangen zonder catastrofale uitkomst.
De verschuiving van uitbannen naar opvangen is dezelfde verschuiving die volwassen reliability engineering jaren geleden maakte. In gedistribueerde systemen bant u falen niet uit. U ontwerpt systemen die geleidelijk terugvallen als er fouten optreden. U meet de gemiddelde hersteltijd, niet alleen de gemiddelde tijd tussen storingen. U behandelt weerbaarheid als primaire architectuureigenschap, niet als opruimklus nadat preventie heeft gefaald.
Security begint langzaam dezelfde logica toe te passen. De Sophos-data is volgens onze lezing sterk bewijs dat die overgang al lang had moeten plaatsvinden.
Waar back-uparchitectuur het scharnierpunt wordt
Als een kwetsbaarheid wordt misbruikt en een aanvaller voet aan de grond krijgt, is de keten die volgt goed gedocumenteerd: laterale beweging, verhoging van rechten, verkenning, exfiltratie en uiteindelijk het uitrollen van de payload. Die keten is ook snel. In de zaken uit 2024 achter het 2025 Active Adversary Report van Sophos was de mediane verblijfsduur in ransomwarezaken van incident response 4 dagen, en 3 dagen in MDR-zaken. Dat is de tijd die een aanvaller heeft om de maatregelen te vinden en uit te schakelen die anders herstel mogelijk zouden maken, en die is korter dan de meeste reviewcycli.
De belangrijkste van die maatregelen is de back-upomgeving.
Als uw back-upinfrastructuur bereikbaar is vanaf een systeem dat via een misbruikte kwetsbaarheid is gecompromitteerd, heeft de kwetsbaarheid niet alleen een aanval mogelijk gemaakt. Ze heeft de aanval laten winnen. Een misbruikte CVE op een applicatie die vanaf internet bereikbaar is, weegt architectonisch minder zwaar om wat ze op die host doet dan om wat ze een aanvaller in de dagen daarna met uw herstellaag laat doen.
Dat is het scharnierpunt dat de Sophos-data impliceert. Misbruikte kwetsbaarheden blijven een van de belangrijkste ingangen, welke plaats ze in een bepaald jaar ook innemen. De variabele die de uitkomst bepaalt, is of uw herstelarchitectuur bereikbaar is vanaf de systemen waar die voet aan de grond wordt gekregen.
Concreet betekent dit:
Scheiding van identiteiten. De credentials die productiesystemen beschermen, mogen geen toegang geven tot back-upinfrastructuur. Als een gecompromitteerd domeinbeheerdersaccount uw back-uprepository kan bereiken, horen uw back-ups bij het aanvalsoppervlak dat de ongepatchte kwetsbaarheid heeft blootgelegd.
Gevalideerde immutability. Retentiebeleid in software kan worden gewijzigd door iedereen met voldoende rechten. Retentielocks die door hardware of het platform worden afgedwongen, zijn ontworpen om daartegen bestand te zijn, maar "geconfigureerd" en "werkt echt zoals bedoeld" zijn verschillende beweringen, en alleen een test onderscheidt ze. Of uw immutability nu wordt afgedwongen door uw back-upplatform, uw storagelaag of een hardened repository: de eigenschap die ertoe doet, is of ze onder vijandige omstandigheden is getest, niet alleen of ze in een instellingenscherm is ingeschakeld.
Isolatie van netwerk en vertrouwen. Een back-upomgeving die in hetzelfde netwerkdomein staat als productiesystemen, hoort vanuit threat modeling bij productie. Logische en fysieke isolatie maken van back-upinfrastructuur niet "nog een doelwit" maar "de laag die overleeft als andere doelwitten dat niet doen".
Regelmatige validatie van restores. In de Sophos-enquête van 2025 zette slechts 54% van de organisaties waarvan de data was versleuteld die terug vanuit back-ups, het laagste percentage in zes jaar en de derde daling op rij. Sophos vraagt de anderen niet waarom. Het meldt wel dat 29% "other means" (andere middelen) gebruikte, wat volgens Sophos waarschijnlijk decryptiesleutels omvat die openbaar waren gemaakt (meerdere antwoorden waren toegestaan). Het enige directe datapunt van Sophos over gefaalde back-ups is beperkt: van 151 organisaties die meer betaalden dan de oorspronkelijke eis, zei 38% dat hun back-ups hadden gefaald of niet goed werkten. De editie van 2026 laat een herstel zien, met 66% van de slachtoffers met versleutelde data die vanuit back-ups herstelden. Hoe dan ook is een back-up die nooit onder realistische omstandigheden is teruggezet een hypothese, geen maatregel.
De strategische herkadering
Voor risicoverantwoordelijken is de reeks van drie jaar waarin misbruik van kwetsbaarheden bovenaan de lijst stond geen aanklacht tegen programma's voor kwetsbaarheidsbeheer. Het is bewijs dat kwetsbaarheidsbeheer, hoe goed uitgevoerd ook, niet in zijn eentje het volle gewicht van de verdediging tegen ransomware kan dragen.
De bevinding uit 2025 dat 32% van de aanvallen begon met een misbruikte kwetsbaarheid, moet worden gelezen naast een ander cijfer uit dezelfde enquête: 49% van de organisaties waarvan de data was versleuteld, betaalde het losgeld, tegenover 56% het jaar ervoor. In de editie van 2026 was het percentage 48%, en Sophos stelt het gemiddelde over vier jaar op ongeveer 50%. Volgens onze lezing hangen die cijfers samen. Ze beschrijven een houding waarin van preventie wordt gevraagd onfeilbaar te zijn, omdat op de herstellaag niet kan worden vertrouwd. De correctie is niet preventie nog onfeilbaarder te maken. Het is herstel zo betrouwbaar te maken dat fouten in preventie niet de bedrijfsuitkomst bepalen.
Die correctie is architectonisch, en ze is al lang nodig. De organisaties die het gat dichten, zijn de organisaties waarvan de herstellaag een incident kan opvangen, ongeacht door welke deur het binnenkwam. De data van 2026 laat zien hoe snel de drukste deur kan veranderen.
Waar BackupSec in beeld komt
Bij BackupSec gaan we uit van het uitgangspunt dat preventie soms zal falen, en dat de uitkomst dan van twee dingen afhangt: of er schone, geïsoleerde kopieën van uw data bestaan, en of iemand heeft gecontroleerd dat de back-uplaag standhoudt tegen de aanval die eraan komt.
Drie van onze diensten sluiten aan op de hierboven beschreven gaten:
- ZeroMON monitort Veeam Backup & Replication. Het draait on-premises als OVA, maakt verbinding met een read-only account en stuurt niets naar BackupSec of een andere derde partij. Het volgt de gezondheid van jobs en configuratiewijzigingen in Veeam (wie wat wanneer heeft gewijzigd), toont de immutability-status zoals de eigen repository-instellingen van Veeam die rapporteren, toont de resultaten van de Security & Compliance Analyzer van Veeam, en bevat een honeypot die scans en verbindingspogingen tegen de ZeroMON-appliance vastlegt als vroeg signaal van verkenning. Alerts gaan uit per e-mail en als melding in de applicatie. Omdat het de configuratie van Veeam uitleest, verifieert het geen locks op objectniveau in de storage zelf.
- ZeroTAM geeft uw team een vaste adviseur voor back-upsecurity voor architectuur, planning van herstel na ransomware en capaciteit, met ondersteuning met voorrang tijdens een crisis. Het is adviswerk, geen software.
- ZeroPEN is een threat-led penetratietest van Veeam Backup & Replication, plus Veeam ONE en Enterprise Manager. Het simuleert een ransomware-kill chain in acht fasen, gekoppeld aan MITRE ATT&CK, van initiële toegang via compromittering van de Veeam-server, toegang tot de repository en het uitschakelen van back-ups tot een bewijs van versleutelingsvermogen. De test is niet-destructief: "ZeroPEN never deletes real backups, performs real encryption, or stops production or backup services." (ZeroPEN verwijdert nooit echte back-ups, voert nooit echte versleuteling uit en stopt nooit productie- of back-upservices). U krijgt audit-klaar bewijs van wat een aanvaller met een voet aan de grond zou kunnen bereiken, en een hertest voor kritieke bevindingen.
Het cijfer van 32% was nooit een voorbestemming, en het cijfer van 18% uit 2026 is geen uitstel van executie. Beide beschrijven de voordeur. Wat de uitkomst bepaalt, is of de herstellaag samen met de preventielaag faalt. Die twee ontkoppelen maakt u niet immuun voor misbruikte kwetsbaarheden. Het maakt wel veel minder waarschijnlijk dat een gemiste patch bepaalt of u betaalt.
Praat met BackupSec over penetratietests van uw back-upomgeving →
Deze analyse steunt op de rapporten State of Ransomware 2025 en 2026 van Sophos, de sectorrapporten van Sophos uit 2025 voor de maakindustrie, retail en zorg, het 2025 Active Adversary Report van Sophos en de analyse van Mandiant uit 2023 naar time-to-exploit. De interpretatie en het kader zijn van BackupSec zelf. Wilt u bespreken hoe dit op uw omgeving van toepassing is, neem dan contact op met ons team →