Co Sophos trafnie ujął w temacie ransomware w 2025 roku — i pytanie o backup, którego nikt nie zadaje

Cicha liczba, która powinna włączać alarm

Co roku Sophos publikuje raport State of Ransomware, oparty na niezależnej od dostawców ankiecie przeprowadzonej wśród tysięcy liderów IT i cyberbezpieczeństwa. Edycja 2025 objęła 3 400 respondentów z 17 krajów, w tym 1 733 z organizacji klasy enterprise (1000+ pracowników). Główne wnioski robią wrażenie: wskaźniki szyfrowania danych spadają, odzyskiwanie danych przebiega szybciej, a coraz więcej organizacji odmawia zapłaty okupu.

Jednak w danych dotyczących enterprise kryje się liczba, która powinna trafić na tablicę każdego CISO:

Wykorzystanie backupu do odzyskiwania danych po atakach ransomware spadło z 73% w 2024 roku do 53% w 2025 roku — to najniższy poziom od czterech lat.

Przeczytaj to jeszcze raz. W roku, w którym obrońcy rzekomo stali się lepsi w powstrzymywaniu ransomware, mierzalnie pogorszyli się w poleganiu na własnym backupie przy odzyskiwaniu danych.

To nie jest drobny przypis. To najważniejszy strategicznie wniosek z całego zbioru danych Sophos — a prawie nikt o tym nie mówi.

W BackupSec odczytujemy raport Sophos z 2025 roku inaczej niż większość analitycznych podsumowań. Główne liczby opowiadają jedną historię; leżące u ich podstaw dane operacyjne opowiadają inną. W tym artykule pokazujemy, co naszym zdaniem raport faktycznie mówi o dzisiejszej odporności na ransomware — i dlaczego zaufanie do backupu po cichu stało się najważniejszą metryką w cyberobronie przedsiębiorstw.

Narracja na powierzchni: obrona wygrywa

Zacznijmy od dobrych wiadomości, bo rzeczywiście takie się pojawiły.

Według Sophos:

• Globalny wskaźnik szyfrowania danych spadł do 50% — to najniższy poziom w sześcioletniej historii raportu, w porównaniu do 70% rok wcześniej.
• W organizacjach klasy enterprise wskaźnik szyfrowania spadł do zaledwie 49%, z 66% w 2024 roku.
• Odsetek ataków powstrzymanych przed szyfrowaniem więcej niż podwoił się w ciągu dwóch lat — z 22% w 2023 roku do 47% w 2025 roku.
• Średni koszt odzyskiwania danych spadł globalnie z 2,73 mln USD do 1,53 mln USD.
• Mediana kwoty okupu spadła o 50% — z 2 mln USD w 2024 roku do 1 mln USD w 2025 roku.
• 53% organizacji w pełni odzyskało dane w ciągu tygodnia, co oznacza gwałtowny wzrost z 35% rok wcześniej.

Gdyby czytać wyłącznie te liczby, można by wywnioskować, że branża zawróciła z niedobrej drogi. EDR dojrzewa. Czasy wykrycia się skracają. Negocjacje stają się bardziej wyrafinowane. Ubezpieczyciele mocniej naciskają na minimalne standardy zabezpieczeń. Wszystko to prawda.

Ale gdy dochodzi się do danych o odzyskiwaniu — cała ta historia przestaje się kleić.

Sprzeczność, która wszystko ujawnia

Oto dana, która burzy optymistyczną narrację:

Wśród organizacji klasy enterprise dotkniętych atakiem ransomware w 2025 roku tylko 53% wykorzystało backup do odzyskania zaszyfrowanych danych. Rok wcześniej liczba ta wynosiła 73%. Jednocześnie 48% przedsiębiorstw i tak zapłaciło okup — wynik zasadniczo niezmieniony w porównaniu z poprzednimi latami.

Innymi słowy: do szyfrowania dochodzi rzadziej, ale gdy już do niego dojdzie, coraz mniej organizacji ufa, że backup je z tego wyciągnie. Zamiast tego sięgają po portfel.

Sama analiza Sophos określa to jako „obniżone zaufanie do możliwości odzyskiwania danych z backupu”. To grzeczny sposób powiedzenia czegoś znacznie ostrzejszego:

Infrastruktura backupu, o której przedsiębiorstwom mówiono, że je ochroni, w realnych incydentach zwyczajnie zawodzi.

To jest sprzeczność leżąca w sercu raportu za 2025 rok. Obrońcy coraz lepiej radzą sobie z powstrzymywaniem ataków na wczesnym etapie. Ale w momencie, gdy atak faktycznie się powiedzie i dane zostaną zaszyfrowane, warstwa odzyskiwania, która powinna być siatką bezpieczeństwa, jest coraz częściej pomijana na rzecz zapłaty przestępcom.

To nie jest historia o tym, że ransomware staje się trudniejszy do zwalczenia. To historia o tym, że architektura backupu zostaje obnażona.

Dlaczego backup zawodzi w chwili próby?

Raport Sophos nie odpowiada wprost na to pytanie, ale otaczające je dane układają się w spójny obraz. Z perspektywy architektonicznej za załamanie zaufania do backupu odpowiadają trzy wzorce.

Wzorzec 1: backup jest kompromitowany razem ze środowiskiem produkcyjnym

Raport za 2025 rok pokazuje, że 75% ataków ransomware obejmuje obecnie eksfiltrację danych przed ich zaszyfrowaniem. Oznacza to, że dzisiejsi atakujący spędzają w sieci dni lub tygodnie, identyfikując i uzyskując dostęp do systemów krytycznych — w tym do infrastruktury backupu — zanim jeszcze uruchomią ładunek szyfrujący.

W działaniach reagowania na incydenty (IR), które obserwujemy w całej branży, ten czas obecności w sieci jest konsekwentnie wykorzystywany do jednego konkretnego celu: zlokalizowania repozytorium backupu, przejęcia jego danych uwierzytelniających, a następnie zaszyfrowania go, uszkodzenia go lub usunięcia jego polityk retencji na kilka godzin przed uruchomieniem ładunku w środowisku produkcyjnym.

Jeśli Twój system backupu współdzieli domenę, dostawcę tożsamości lub zestaw danych uwierzytelniających ze środowiskiem produkcyjnym, to nie jest to warstwa odzyskiwania danych. To drugi cel na ścieżce ataku (kill chain).

Wzorzec 2: „sukces backupu” nie oznacza „sukcesu przywracania danych”

Dane Sophos jasno pokazują ludzki koszt tej sytuacji: wszyscy respondenci z organizacji, w których doszło do zaszyfrowania danych, zgłosili, że ich zespoły IT/cyberbezpieczeństwa zostały w jakiś sposób dotknięte skutkami ataku. Zwiększony stres (40% respondentów z sektora enterprise), zwiększona presja ze strony kierownictwa wyższego szczebla (41%) oraz zmiany personalne w kierownictwie po incydencie to częste konsekwencje.

Wzorzec, który powtarza się w tych historiach, jest taki, że zespół odkrywa w trakcie incydentu, iż backup, którym zarządzał od lat, w rzeczywistości nie może zostać przywrócony z prędkością lub kompletnością wymaganą przez biznes. Logi zadań mówią „sukces”. Przywracanie danych opowiada zupełnie inną historię.

To dokładnie ten scenariusz awarii, przed którym miało chronić „0” w regule 3-2-1-1-0: zero błędów przy weryfikacji backupu. Jednak weryfikacja to coś, co deklaruje większość organizacji, ale niewiele robi to w sposób ciągły, na dużą skalę i w oparciu o rzeczywiste scenariusze odzyskiwania danych, z jakimi zmierzą się podczas prawdziwego incydentu.

Wzorzec 3: warstwa organizacyjna jest najsłabszym ogniwem

Po raz pierwszy w 2025 roku Sophos zapytał respondentów o organizacyjne czynniki, które przyczyniły się do tego, że padli ofiarą ataku. Wyniki są uderzające:

• 40,2% wskazało „brak kompetencji” — niewystarczające umiejętności lub wiedzę, by wykryć atak i powstrzymać go na czas.
• 40,1% wskazało „nieznane luki bezpieczeństwa” — słabości w zabezpieczeniach, których nie były świadome.
• Respondenci wskazali średnio 2,7 czynnika przyczyniającego się do każdego incydentu.

Tłumacząc to z języka ankiety: zespoły bezpieczeństwa w przedsiębiorstwach wiedzą, że są niedofinansowane, wiedzą, że mają martwe punkty, i wiedzą, że złożoność środowiska wyprzedziła ich zdolność do zarządzania nim. Infrastruktura backupu — zwykle najmniej lubiana i najsłabiej zmodernizowana warstwa stosu technologicznego przedsiębiorstwa — znajduje się dokładnie na przecięciu tych trzech słabości.

Kiedy osoby zarządzające środowiskiem backupu to te same osoby, które odpowiadają za reagowanie na incydenty, zarządzanie poprawkami, tożsamość i tuzin innych priorytetów, warstwa backupu nie otrzymuje uwagi architektonicznej, jakiej potrzebuje. I dlatego, gdy w trakcie incydentu ma zadziałać, zawodzi.

Co do tego obrazu dodają raporty sektorowe

Sophos opublikował kilka sektorowych zestawień danych z 2025 roku, a każde z nich wnosi niuanse warte uwagi.

W przemyśle wytwórczym wskaźnik szyfrowania spadł do najniższego poziomu od pięciu lat, czyli 40%, ale mediana zapłaconego okupu nadal sięgnęła 1 mln USD, a 47% firm produkcyjnych zgłosiło zwiększony stres zespołu po incydencie. Zależność tego sektora od ciągłości operacyjnej — gdzie minuty przestoju odbijają się echem w całych łańcuchach dostaw — sprawia, że zaufanie do odzyskiwania danych ma znaczenie egzystencjalne.

W handlu detalicznym 46% incydentów wynikało z nieznanej luki bezpieczeństwa, a 58% organizacji z zaszyfrowanymi danymi zapłaciło okup — to drugi najwyższy wskaźnik płatności w ciągu pięciu lat. Mediana żądanego okupu w handlu detalicznym podwoiła się do 2 mln USD.

Wzorzec powtarzający się we wszystkich sektorach jest spójny: organizacje coraz lepiej radzą sobie z powstrzymywaniem ataków. Nie stają się jednak proporcjonalnie lepsze w odzyskiwaniu danych po nich. Luka między dojrzałością w zakresie prewencji a dojrzałością w zakresie odzyskiwania danych się powiększa — i to właśnie w tej luce żyją płatności okupu.

Co zaleca raport Sophos (i czego w nim brakuje)

Własne rekomendacje Sophos koncentrują się na czterech obszarach: prewencji, ochronie, wykrywaniu i reagowaniu. Są one rozsądne i dobrze poparte danymi. Konkretnie raport zaleca:

• Eliminowanie najczęstszych przyczyn technicznych i operacyjnych (wykorzystywane podatności, słabe mechanizmy kontroli tożsamości).
• Wzmacnianie fundamentalnego bezpieczeństwa poprzez utwardzone konfiguracje, MFA i dyscyplinę w zarządzaniu poprawkami.
• Inwestowanie w możliwości Managed Detection and Response (MDR).
• Przygotowywanie szczegółowych planów reagowania na incydenty (IR).

Wszystko to słuszne. Wszystko to konieczne. Jest jednak piąty filar, którego raport nie stawia w centrum uwagi, a liczby dotyczące wykorzystania backupu z 2025 roku są powodem, dla którego powinien:

Sama architektura odzyskiwania danych musi zostać zmodernizowana — nie tylko broniona.

Środowisko backupu zaprojektowane do odzyskiwania danych po awariach sprzętu i przypadkowych usunięciach to zupełnie coś innego niż środowisko backupu zaprojektowane do odzyskiwania danych po ataku zdeterminowanego przeciwnika, który przebywał w sieci przez dwa tygodnie. Pierwsze to problem redundancji. Drugie to problem architektoniczny. A dane pokazują, że większość środowisk backupu klasy enterprise wciąż funkcjonuje jak to pierwsze.

Luka zaufania do backupu: co mierzyć zamiast tego

Jeśli z raportu Sophos za 2025 rok masz wynieść tylko jedną operacyjną zmianę, niech będzie nią to: przestań mierzyć wskaźnik sukcesu backupu, a zacznij mierzyć zaufanie do backupu.

Wskaźnik sukcesu backupu to metryka, którą Twoje oprogramowanie do backupu daje Ci za darmo. Odpowiada ona na pytanie: „czy zadanie się zakończyło?”. Ta metryka jest dziś bezużyteczna jako wskaźnik zdolności do odzyskiwania danych. Atakujący o tym wiedzą, obrońcy powoli się tego uczą, a luka między tym, co pokazuje panel kontrolny, a tym, co faktycznie dostarcza incydent, jest dokładnie tym miejscem, z którego wziął się 20-punktowy spadek odzyskiwania danych opartego na backupie.

Zaufanie do backupu to zupełnie inna metryka. Zadaje ona pytania:

• Czy jesteśmy w stanie już dziś przywrócić systemy pierwszego poziomu (tier-one) z niezmiennego (immutable) storage'u w ramach zadeklarowanego RTO, w warunkach aktywnego ataku?
• Czy nasze procedury odzyskiwania danych działają, gdy dostawcy tożsamości środowiska produkcyjnego zostali skompromitowani?
• Czy zweryfikowaliśmy, że nasze polityki retencji nie mogą zostać zmodyfikowane przez żadne dane uwierzytelniające z poziomu produkcyjnego?
• Czy monitorujemy telemetrię systemu backupu pod kątem zachowań przeciwnika — a nie tylko zakończenia zadań?
• Gdy zespół IR zostaje zapytany „czy powinniśmy zapłacić?” — jaka jest techniczna podstawa tej odpowiedzi?

Na te pytania istnieją odpowiedzi. Większość przedsiębiorstw obecnie nie wie, jakie są ich własne, a dane Sophos to konsekwencja tej niepewności, która ujawnia się na dużą skalę.

Co wynosimy z danych Sophos za 2025 rok

Po uważnej lekturze pełnego raportu widzimy historię inną niż ta opowiadana w większości podsumowań. Oto ona:

Branża znacząco poprawiła się w zapobieganiu temu, by ransomware dotarł do pełnego uruchomienia swojego ładunku. To realna i istotna poprawa, która zasługuje na uznanie.

Ale warstwa odzyskiwania danych — architektoniczna obietnica, że organizacje nigdy nie będą musiały płacić okupu, bo będą mogły przywrócić dane z czystego backupu — jest po cichu drążona od środka. 20-punktowy spadek odzyskiwania danych opartego na backupie to dym. Leżąca pod nim luka architektoniczna to ogień.

Dla przedsiębiorstw działających w regulowanych sektorach, zarządzających złożonymi środowiskami hybrydowymi lub po prostu niechętnych finansowaniu kolejnej kampanii ransomware z własnych środków, to jest priorytetowa rozmowa na 2026 rok. Nie „czy mamy backup?” — każda organizacja objęta ankietą Sophos miała backup. Pytanie brzmi: czy nasza architektura backupu przetrwa realnego przeciwnika i czy jesteśmy w stanie to udowodnić, zanim będziemy tego potrzebować?

Jak BackupSec podchodzi do luki zaufania

W BackupSec zbudowaliśmy naszą usługę wokół założenia, że środowiska backupu muszą być obserwowalne, doradzalne i możliwe do udowodnienia w warunkach ataku — a nie tylko operacyjne w warunkach normalnych. Każdy element naszego podejścia odpowiada na awarie ujawnione przez dane Sophos:

• ZeroMON — nasza platforma do obserwowalności — zapewnia ciągłe monitorowanie operacji backupu i sygnałów bezpieczeństwa: śledzenie zadań w czasie rzeczywistym, alerty o odchyleniach konfiguracji (configuration drift), ślady audytowe do celów śledczych, analitykę pojemności oraz widoczność gotową pod Veeam. To warstwa, która wychwytuje ciche awarie backupu, na jakie wskazują dane Sophos. To operacyjna odpowiedź na pytanie: „czy nasz backup rzeczywiście robi to, co pokazuje panel kontrolny?”.
• ZeroTAM — nasza usługa eksperckiego doradztwa — zapewnia zespołom enterprise dedykowanego doradcę ds. bezpieczeństwa backupu do przeglądów architektury, planowania odzyskiwania danych po ransomware, strategii pojemności i reagowania kryzysowego. To warstwa ludzka, która odpowiada na wskazywany przez 40,2% respondentów Sophos „brak kompetencji” — bez rotujących zgłoszeń serwisowych czy ogólnikowych wskazówek.
• ZeroPEN — nasza usługa testów penetracyjnych backupu i walidacji odzyskiwania danych — odpowiada bezpośrednio na lukę związaną z 53% wykorzystania backupu. Testujemy Twoje płaszczyzny zarządzania backupem, mechanizmy kontroli dostępu, ustawienia niezmienności (immutability) i poziom izolacji dokładnie tak, jak zrobiłby to prawdziwy przeciwnik. Następnie uruchamiamy realne scenariusze przywracania danych względem Twoich celów RTO/RPO i weryfikujemy, czy odzyskane dane są czyste, kompletne i wolne od śladów obecności atakującego. Efektem nie jest lista ustaleń — to udokumentowany dowód na to, że odzyskiwanie danych działa.

BackupSec jest wdrażany on-premise. Łączymy się poprzez dostęp API wyłącznie do odczytu (read-only). Twoje dane backupu, telemetria i szczegóły konfiguracji nigdy nie opuszczają Twojego środowiska. Nie zastępujemy Twojej platformy backupu — sprawiamy, że ta, z której już korzystasz, staje się obserwowalna, doradzalna i możliwa do udowodnienia.

Wskaźnik wykorzystania backupu na poziomie 53% w danych Sophos dotyczących enterprise nie jest przeznaczeniem. To konsekwencja dobiegającej końca ery architektonicznej. Organizacje, które w ciągu najbliższych dwunastu miesięcy zamkną lukę zaufania, to te, które przestaną pojawiać się w rubryce „zapłacił okup” w przyszłorocznym raporcie.

Porozmawiaj z BackupSec o weryfikacji gotowości do odzyskiwania danych →

Niniejsza analiza opiera się na raporcie Sophos State of Ransomware 2025 oraz powiązanych publikacjach sektorowych. Przedstawiona tu interpretacja i ramy koncepcyjne są własnym opracowaniem BackupSec. Aby omówić, jak wnioski z 2025 roku odnoszą się do Twojego konkretnego środowiska, skontaktuj się z naszym zespołem →