Cicha liczba, która powinna wywoływać alarm
Co roku Sophos publikuje raport State of Ransomware, oparty na, jak go określa, niezależnej i neutralnej wobec producentów ankiecie wśród liderów IT i cyberbezpieczeństwa z organizacji dotkniętych ransomware. Edycja 2025, opublikowana w czerwcu 2025 roku, obejmuje 3400 respondentów z 17 krajów, z organizacji zatrudniających od 100 do 5000 pracowników. W grudniu 2025 roku Sophos opublikował osobne zestawienie, The State of Ransomware in Enterprise 2025, obejmujące 1733 respondentów z przedsiębiorstw zatrudniających od 1000 do 5000 pracowników. Sophos nazywa każdy raport od roku przeprowadzenia ankiety (styczeń–marzec 2025), więc wiele opisanych w nim ataków miało miejsce w 2024 roku.
Główne wnioski są zachęcające: odsetek zaszyfrowanych danych spada, odtwarzanie przebiega szybciej, a mniej ofiar płaci okup.
Raport dla przedsiębiorstw zawiera jednak liczbę, która powinna znaleźć się na tablicy każdego CISO:
Wśród przedsiębiorstw, których dane zostały zaszyfrowane, odsetek tych, które przywróciły je z kopii zapasowych, spadł z 73% w 2024 roku do 53% w 2025 roku. Sophos określa to jako najniższy poziom od czterech lat.
Przeczytaj to jeszcze raz. W roku, w którym obrońcy lepiej radzili sobie z zatrzymywaniem ransomware przed szyfrowaniem, przedsiębiorstwa, które jednak doświadczyły szyfrowania, w wymierny sposób rzadziej odtwarzały się z własnych kopii zapasowych.
To nie jest drobny przypis. Uważamy, że to najważniejsze strategicznie ustalenie w danych Sophos. Liczby z nagłówków opowiadają jedną historię, a dane o odtwarzaniu drugą. Ten artykuł omawia, co naszym zdaniem dane mówią o odporności na ransomware i dlaczego zaufanie do kopii zapasowych stało się najważniejszą metryką.
Narracja na powierzchni: obrona wygrywa
Zacznijmy od dobrych wiadomości, bo naprawdę jakieś są.
Wśród wszystkich 3400 respondentów głównego raportu z 2025 roku:
- Odsetek ataków zakończonych zaszyfrowaniem danych spadł do 50%, wobec 70% w 2024 roku, co jest najniższym wynikiem w sześcioletniej historii badania.
- Średni koszt odtworzenia, bez okupu, spadł z 2,73 mln USD do 1,53 mln USD.
- Mediana zapłaconego okupu spadła o 50%, z 2 mln USD w 2024 roku do 1 mln USD w 2025 roku.
- 53% ofiar w pełni odzyskało sprawność w ciągu tygodnia, wobec 35% w 2024 roku.
- 49% ofiar z zaszyfrowanymi danymi zapłaciło okup, wobec 56% w 2024 roku.
Wśród przedsiębiorstw, według raportu dla przedsiębiorstw:
- Odsetek ataków zakończonych zaszyfrowaniem danych spadł do 49%, wobec 66% w 2024 roku.
- Odsetek ataków zatrzymanych przed szyfrowaniem wzrósł ponad dwukrotnie w ciągu dwóch lat, z 22% w 2023 roku do 47% w 2025 roku.
Sophos odczytuje spadek szyfrowania jako znak, że organizacje „are more capable of stopping attacks before the encrypted payload is deployed” (lepiej potrafią zatrzymać atak, zanim zostanie uruchomiony ładunek szyfrujący), a szybsze odtwarzanie jako możliwy znak inwestycji w „cyber incident preparation and recovery readiness” (przygotowanie na cyberincydenty i gotowość do odtwarzania). Czytane w oderwaniu, te liczby mówią, że branża osiągnęła punkt zwrotny.
Potem dochodzimy do danych o odtwarzaniu.
Sprzeczność, która wszystko odsłania
Oto dane, które komplikują optymistyczną narrację.
Wśród przedsiębiorstw, których dane zostały zaszyfrowane, 53% przywróciło je z kopii zapasowych, wobec 73% rok wcześniej. W tym samym okresie 48% zapłaciło okup, aby odzyskać dane, wobec 55% (raport dla przedsiębiorstw). Obie drogi się skurczyły. Blisko jedna trzecia (30%) przedsiębiorstw z zaszyfrowanymi danymi zadeklarowała użycie innych sposobów, które według Sophos mogą obejmować „restoration from shadow copies, utilizing endpoint protection rollback features or recovering data from unaffected systems” (przywracanie z kopii w tle, korzystanie z funkcji wycofywania zmian w ochronie punktów końcowych lub odzyskiwanie danych z systemów, których atak nie dotknął).
W 2024 roku kopie zapasowe wyprzedzały płacenie okupu o 18 punktów (73% wobec 55%). W 2025 roku przewaga wynosiła 5 punktów (53% wobec 48%). Mniej przedsiębiorstw płaci, co jest dobrą wiadomością. Ale warstwa odtwarzania, która miała sprawić, że płacenie stanie się zbędne, dźwiga mniejszą część ciężaru, a nie większą.
Podsumowanie samego Sophos jest bezpośrednie: „Collectively, these findings point to stronger resistance to demands together with weaknesses and lack of backup resilience” (łącznie te ustalenia wskazują na silniejszy opór wobec żądań, a jednocześnie na słabości i brak odporności kopii zapasowych).
Słabości i brak odporności kopii zapasowych: właśnie ta część nas interesuje. Obrońcy coraz lepiej zatrzymują ataki na wczesnym etapie. Ale gdy atak się powiedzie i dane zostaną zaszyfrowane, kopie zapasowe, które powinny być siatką bezpieczeństwa, są wykorzystywane rzadziej.
To nie jest historia o tym, że ransomware staje się trudniejszy. To historia o tym, że architektura kopii zapasowych zostaje obnażona.
Dlaczego kopie zapasowe zawodzą w decydującym momencie?
Raporty Sophos nie mówią, dlaczego wykorzystanie kopii zapasowych spadło. Ankieta rejestruje, jak dane zostały odzyskane, a nie dlaczego kopie zapasowe zostały lub nie zostały użyte. Trzy poniższe wzorce to nasza interpretacja, wsparta danymi Sophos tam, gdzie takie istnieją.
Wzorzec 1: kopie zapasowe są kompromitowane razem z produkcją
Atakujący celowo biorą na cel kopie zapasowe. W badaniu Sophos z 2024 roku dotyczącym skompromitowanych kopii zapasowych 94% organizacji dotkniętych ransomware stwierdziło, że atakujący próbowali skompromitować ich kopie zapasowe, a 57% tych prób się powiodło. Organizacje, których kopie zapasowe zostały skompromitowane, niemal dwukrotnie częściej płaciły okup (67% wobec 36%), a ich mediana kosztów odtworzenia była ośmiokrotnie wyższa (3 mln USD wobec 375 tys. USD).
Kradzież danych zwiększa presję. W raporcie dla przedsiębiorstw 30% przedsiębiorstw, których dane zostały zaszyfrowane, padło również ofiarą kradzieży danych (15% wszystkich przedsiębiorstw będących ofiarami). Czyste przywrócenie nic nie zmienia w sprawie danych, które już opuściły organizację.
Jeśli system kopii zapasowych dzieli z produkcją domenę, dostawcę tożsamości lub zestaw poświadczeń, nie jest oddzielną warstwą odtwarzania. Jest kolejnym celem w tym samym łańcuchu ataku.
Wzorzec 2: „udana kopia zapasowa” nie oznacza „udanego przywracania”
Dane dotyczące przedsiębiorstw zawierają bezpośredni sygnał. Spośród 72 przedsiębiorstw, które zapłaciły więcej niż wynosiło początkowe żądanie okupu, 42% podało taki powód: „Our backups failed or were malfunctioning” (nasze kopie zapasowe zawiodły lub działały nieprawidłowo) (raport dla przedsiębiorstw). Grupa jest niewielka, ale to przedsiębiorstwa będące ofiarami mówią wprost, że ich kopie zapasowe nie wytrzymały.
Wyraźny jest też koszt ludzki. Każde przedsiębiorstwo, którego dane zostały zaszyfrowane, zgłosiło konsekwencje dla swojego zespołu IT/cyberbezpieczeństwa: 40% odnotowało zwiększoną presję ze strony kadry kierowniczej, 39% większy niepokój lub stres związany z przyszłymi atakami, a w 27% przypadków wymieniono kierownictwo zespołu.
Dziennik zadania z komunikatem „success” mówi, że kopia zapasowa się wykonała. Nie mówi, że przywracanie zadziała z taką szybkością i kompletnością, jakiej potrzebuje biznes.
Właśnie tego trybu awarii dotyczy „0” w regule 3-2-1-1-0. Przewodnik Veeam po dobrych praktykach bezpieczeństwa definiuje je jako „0 errors” (zero błędów) w automatycznej weryfikacji możliwości odtworzenia każdej kopii zapasowej za pomocą SureBackup. Ukończone zadanie to nie zweryfikowane przywracanie, a weryfikacja liczy się tylko wtedy, gdy testuje scenariusze odtwarzania, z którymi zmierzysz się podczas prawdziwego incydentu.
Wzorzec 3: warstwa organizacyjna jest najsłabszym ogniwem
W 2025 roku Sophos po raz pierwszy zapytał ofiary o czynniki organizacyjne, które naraziły je na atak. Wśród wszystkich 3400 respondentów głównego raportu:
- 40,2% wskazało brak wiedzy specjalistycznej: brak umiejętności lub wiedzy, by na czas wykryć i zatrzymać atak.
- 40,1% wskazało nieznane luki w zabezpieczeniach: słabe punkty obrony, o których nie wiedzieli.
- 39,4% wskazało brak ludzi lub mocy przerobowych.
- Respondenci wskazywali średnio 2,7 czynnika.
Zestawienie dla przedsiębiorstw jest niemal identyczne: listę otwierają nieznana luka w zabezpieczeniach (40%), brak ludzi lub mocy przerobowych (39,2%) i brak wiedzy specjalistycznej (38,9%), przy średnio trzech wskazanych czynnikach.
Mówiąc wprost: zespołom bezpieczeństwa brakuje ludzi i umiejętności, a do tego mają martwe pola, których nie widzą. Twierdzimy, że infrastruktura kopii zapasowych leży dokładnie tam, gdzie spotykają się wszystkie trzy słabości. Gdy ci sami ludzie, którzy ją prowadzą, zajmują się też reagowaniem na incydenty, łataniem i tożsamością, rzadko dostaje ona uwagę architektoniczną, dopóki incydent nie zażąda od niej wyników.
Co wnoszą raporty sektorowe
Sophos opublikował również zestawienia sektorowe ankiety z 2025 roku.
W sektorze produkcji przemysłowej (332 respondentów) odsetek szyfrowania spadł do 40%, najniższego poziomu od pięciu lat, a mediana zapłaconego okupu wyniosła 1 mln USD, wobec 1,2 mln USD. 47% zgłosiło większy niepokój lub stres związany z przyszłymi atakami w zespole IT/cyberbezpieczeństwa. Wykorzystanie kopii zapasowych utrzymało się na poziomie 58%.
W handlu detalicznym (361 respondentów z 16 krajów) odsetek szyfrowania spadł do 48%, również najniższego poziomu od pięciu lat. Nieznana luka w zabezpieczeniach była najczęstszym czynnikiem operacyjnym, wskazanym przez 46% ofiar. 58% sprzedawców detalicznych z zaszyfrowanymi danymi zapłaciło okup, co Sophos nazywa „the second highest ransom payment rate in five years” (drugim najwyższym odsetkiem płacących okup od pięciu lat). Mediana żądanego okupu podwoiła się z 1 mln USD do 2 mln USD, a wykorzystanie kopii zapasowych spadło do 62%, najniższego poziomu od czterech lat.
Obraz sektorowy jest niejednoznaczny: w handlu detalicznym wykorzystanie kopii zapasowych spadło, w produkcji się utrzymało. Raporty sektorowe łączy z danymi dla przedsiębiorstw to, że prewencja poprawia się szybciej niż odtwarzanie z kopii zapasowych. Odsetek szyfrowania spadł w obu sektorach, a wykorzystanie kopii zapasowych spadło lub stało w miejscu. Naszym zdaniem właśnie w tej luce między dojrzałością prewencji a dojrzałością odtwarzania mieszczą się płatności okupu.
Co zaleca raport Sophos (i gdzie położylibyśmy większy nacisk)
Raport główny i raport dla przedsiębiorstw kończą się tymi samymi czterema zaleceniami:
- Prewencja: wyeliminuj techniczne i operacyjne przyczyny pierwotne wskazane w raporcie.
- Ochrona: solidne podstawy bezpieczeństwa, z dobrze bronionymi punktami końcowymi (w tym serwerami), łącznie z dedykowaną ochroną przed ransomware, która potrafi zatrzymać złośliwe szyfrowanie i wycofać jego skutki.
- Wykrywanie i reagowanie: całodobowe wykrywanie zagrożeń i reagowanie na nie, za pośrednictwem dostawcy usług MDR (managed detection and response), jeśli brakuje Ci zasobów lub umiejętności we własnym zespole.
- Planowanie i przygotowanie: plan reagowania na incydenty, którego wdrażanie dobrze znasz, a także wysokiej jakości kopie zapasowe i regularne ćwiczenie przywracania z nich danych.
Wszystko słusznie. Kopie zapasowe się tam pojawiają, w jednym zdaniu w punkcie o planowaniu i przygotowaniu. Biorąc pod uwagę liczby dotyczące kopii zapasowych w przedsiębiorstwach, nadalibyśmy odtwarzaniu większą wagę:
Samą architekturę odtwarzania trzeba zmodernizować, a nie tylko bronić.
Środowisko kopii zapasowych zaprojektowane do odtwarzania po awariach sprzętu i przypadkowym usunięciu danych to nie to samo co środowisko zaprojektowane do odtwarzania po ataku przeciwnika, który jest już w sieci i najpierw bierze na cel kopie zapasowe. Pierwsze to problem redundancji. Drugie to problem architektoniczny. Ćwiczenie przywracania jest konieczne, ale nie pomoże, jeśli atakujący może dotrzeć do kopii, na których ćwiczyłeś.
Luka w zaufaniu do kopii zapasowych: co mierzyć zamiast tego
Jeśli z danych Sophos za 2025 rok wyniesiesz jedną zmianę operacyjną, niech będzie to ta: przestań traktować wskaźnik powodzenia kopii zapasowych jako metrykę odtwarzania i zacznij mierzyć zaufanie do kopii zapasowych (backup confidence).
Wskaźnik powodzenia kopii zapasowych to metryka, którą oprogramowanie do kopii zapasowych daje Ci za darmo. Odpowiada na jedno pytanie: czy zadanie zostało ukończone? Sam w sobie nie jest wskaźnikiem zdolności do odtworzenia. Uważamy, że luka między tym, co pokazuje pulpit, a tym, co przynosi incydent, jest częścią tego, co odzwierciedla 20-punktowy spadek odtwarzania z kopii zapasowych.
Zaufanie do kopii zapasowych wymaga innych pytań:
- Czy dziś, w warunkach aktywnego ataku, potrafimy przywrócić systemy pierwszej kategorii (tier 1) z niezmiennej pamięci masowej w zadeklarowanym RTO?
- Czy nasze procedury odtwarzania działają, gdy produkcyjni dostawcy tożsamości są skompromitowani?
- Czy sprawdziliśmy, że żadne poświadczenie z warstwy produkcyjnej nie pozwala zmodyfikować naszych polityk retencji?
- Czy monitorujemy telemetrię systemu kopii zapasowych pod kątem zachowań przeciwnika, a nie tylko ukończenia zadań?
- Gdy zespół IR usłyszy pytanie „czy powinniśmy zapłacić?”, na jakiej technicznej podstawie opiera odpowiedź?
Na te pytania istnieją odpowiedzi. Wiele przedsiębiorstw jeszcze nie zna swoich.
Co wynosimy z danych Sophos za 2025 rok
Po przeczytaniu raportów w całości widzimy następującą historię.
Organizacje zauważalnie lepiej radzą sobie z zatrzymywaniem ransomware, zanim zaszyfruje dane. To realna poprawa i zasługuje na uznanie.
Ale warstwa odtwarzania, czyli obietnica, że organizacje nigdy nie będą musiały płacić, bo przywrócą się z czystych kopii zapasowych, dźwiga mniejszą część ciężaru. W danych dla przedsiębiorstw 20-punktowy spadek odtwarzania z kopii zapasowych to dym. Uważamy, że ogniem jest luka architektoniczna pod spodem.
Dla przedsiębiorstw z sektorów regulowanych, prowadzących złożone środowiska hybrydowe albo po prostu niechcących finansować kolejnej kampanii ransomware, to rozmowa, którą trzeba odbyć teraz. Pytanie nie brzmi „czy mamy kopie zapasowe?”. Brzmi tak: czy nasza architektura kopii zapasowych przetrwa prawdziwego przeciwnika i czy potrafimy to udowodnić, zanim będzie to potrzebne?
Jak BackupSec podchodzi do luki w zaufaniu
W BackupSec wychodzimy z założenia, że środowiska kopii zapasowych muszą być obserwowalne i przetestowane w warunkach ataku, a nie tylko sprawne w normalnych warunkach. Trzy nasze usługi odpowiadają opisanym wyżej problemom:
- ZeroMON monitoruje Veeam Backup & Replication: kondycję zadań, dryf konfiguracji ze ścieżką Forensic & Audit pokazującą, kto co zmienił i kiedy, listę kontrolną Security Analyzer, raporty oraz honeypot na urządzeniu monitorującym. Pokazuje status niezmienności tak, jak raportują go ustawienia repozytorium w samym Veeam. Odczytuje konfigurację Veeam i nie weryfikuje blokad na poziomie obiektów w pamięci masowej. Alerty są wysyłane e-mailem i jako powiadomienia w aplikacji. ZeroMON jest wdrażany lokalnie jako OVA i łączy się za pomocą konta tylko do odczytu, a nic z tego, co zbiera, nie jest wysyłane do BackupSec ani do żadnej strony trzeciej.
- ZeroTAM zapewnia Twojemu zespołowi dedykowanego doradcę ds. bezpieczeństwa kopii zapasowych do przeglądów architektury, planowania odtwarzania po ransomware, planowania pojemności i priorytetowego wsparcia w kryzysie. To usługa doradcza, a nie oprogramowanie, i odpowiada bezpośrednio na opisane wyżej ustalenia o braku wiedzy specjalistycznej i braku mocy przerobowych.
- ZeroPEN to test penetracyjny ukierunkowany na zagrożenia, obejmujący Veeam Backup & Replication, Veeam ONE i Enterprise Manager. Symuluje łańcuch ataku ransomware zmapowany na MITRE ATT&CK w ośmiu etapach: dostęp początkowy, rozpoznanie i inwentaryzacja, nadużycie poświadczeń, przejęcie serwera Veeam, dostęp do repozytorium, neutralizacja kopii zapasowych, symulacja eksfiltracji oraz dowód zdolności do szyfrowania. Jest niedestrukcyjny: ZeroPEN „never deletes real backups, performs real encryption, or stops production or backup services” (nigdy nie usuwa prawdziwych kopii zapasowych, nie wykonuje prawdziwego szyfrowania ani nie zatrzymuje usług produkcyjnych czy usług kopii zapasowych). Usługa obejmuje także weryfikację integralności przywracania i niezmienności, a kończy się pakietem raportów gotowych do audytu i ponownym testem dla krytycznych ustaleń.
Nie zastępujemy Twojej platformy kopii zapasowych. Pomagamy zobaczyć i przetestować tę, którą już masz.
53% w danych Sophos dla przedsiębiorstw to nie przeznaczenie. Naszym zdaniem odzwierciedla architektury kopii zapasowych zbudowane z myślą o innym zagrożeniu.
Porozmawiaj z BackupSec o bezpieczeństwie swoich kopii zapasowych →
Ta analiza opiera się na raportach Sophos State of Ransomware 2025, State of Ransomware in Enterprise 2025 oraz raportach sektorowych Sophos z 2025 roku. Interpretacja jest autorstwa BackupSec. Sophos opublikował od tego czasu The State of Ransomware 2026. Ten artykuł dotyczy danych z 2025 roku. Aby omówić, jak te ustalenia odnoszą się do Twojego środowiska, skontaktuj się z naszym zespołem →