Problem 2,7: dlaczego ofiary ransomware zwykle mierzą się z więcej niż jedną słabością

Najbardziej niedoceniana liczba w raporcie Sophos za 2025 rok

Gdy w czerwcu 2025 roku Sophos opublikował raport State of Ransomware 2025, główne ustalenia były zachęcające. Dane zostały zaszyfrowane w 50% ataków, wobec 70% w 2024 roku. 53% ofiar w pełni odzyskało sprawność w ciągu tygodnia, wobec 35%. Mediana zapłaconego okupu spadła o połowę, z 2 mln USD do 1 mln USD. Te liczby są prawdziwe i mają znaczenie. Raport po raz pierwszy zbadał jednak także coś innego: czynniki organizacyjne, które naraziły firmy na atak. Jedna statystyka z tej części naszym zdaniem zmienia sposób, w jaki osoby odpowiedzialne za ryzyko w przedsiębiorstwie powinny myśleć o ransomware.

Ankieta objęła 3400 liderów IT i cyberbezpieczeństwa z 17 krajów, wszystkich z organizacji zatrudniających od 100 do 5000 pracowników, które w ciągu poprzednich 12 miesięcy padły ofiarą ransomware. Zapytani, dlaczego ich organizacja stała się ofiarą, respondenci wskazywali średnio 2,7 czynnika.

Nie jeden. Nawet nie dwa. Ofiary wskazywały średnio blisko trzy uwarunkowania operacyjne stojące za pojedynczym atakiem.

To nie jest przypis. To mocny dowód, że obrona przed ransomware oparta na pojedynczym mechanizmie nie odpowiada temu, jak ofiary opisują własne incydenty, i że architektura kopii zapasowych po cichu stała się jednym z najważniejszych mechanizmów kompensacyjnych w korporacyjnym stosie bezpieczeństwa.

W BackupSec uważamy, że wartość 2,7 to strategicznie najbardziej użyteczna liczba w raporcie. Ten artykuł wyjaśnia, co ona mierzy, dlaczego utrudnia obronę strategii opartych wyłącznie na prewencji i co oznacza dla organizacji, które wciąż traktują kopie zapasowe jako dodatek do „prawdziwego” bezpieczeństwa.

Co naprawdę oznacza 2,7

Pytanie, które zadał Sophos, brzmiało: „Why do you think your organization fell victim to the ransomware attack?” (dlaczego Twoim zdaniem Twoja organizacja padła ofiarą ataku ransomware?). Respondenci mogli wybrać więcej niż jeden z siedmiu powodów operacyjnych i średnio wybierali 2,7. Pełna lista wraz z odsetkiem spośród 3400 respondentów, którzy wskazali każdy z nich:

• Brak wiedzy specjalistycznej: 40,2%. Brak umiejętności lub wiedzy, by na czas wykryć i zatrzymać atak.
• Nieznana luka w zabezpieczeniach: 40,1%. Słaby punkt obrony, o którym organizacja nie wiedziała.
• Brak ludzi/mocy przerobowych: 39,4%. Zbyt mało ekspertów ds. cyberbezpieczeństwa monitorujących systemy w chwili ataku.
• Brak ochrony: 39,0%. Brak niezbędnych produktów i usług cyberbezpieczeństwa.
• Znana luka w zabezpieczeniach, której nie usunięto: 38,2%.
• Ochrona niskiej jakości, która nie zdołała zatrzymać ataku: 37,1%.
• Błąd ludzki: 34,2%.

Ze sposobu zadania pytania wynikają dwie rzeczy. Wartość 2,7 to średnia, więc niektóre ofiary wskazały jeden czynnik, a inne kilka. Rejestruje też to, co według respondentów się przyczyniło, a nie wynik dochodzenia śledczego. Czynniki również się nakładają. Sophos grupuje je w problemy z ochroną (63% respondentów), problemy z zasobami (63%) i luki w zabezpieczeniach (65%) i stwierdza „no single stand-out source” (brak jednego wyróżniającego się źródła).

O techniczny punkt wejścia Sophos pytał osobno. Wykorzystane podatności były pierwotną przyczyną 32% ataków, skompromitowane poświadczenia 23%, złośliwe e-maile 19%, a phishing 18%. Te odsetki opisują, jak atakujący dostał się do środka. Wartość 2,7 opisuje warunki wokół tego zdarzenia.

Podsumowanie samego Sophos brzmi: „victims are typically facing multiple operational challenges” (ofiary zwykle mierzą się z wieloma wyzwaniami operacyjnymi). Odczytujemy to jako problem strukturalny, a nie serię pechowych zdarzeń.

Jeśli ofiary zwykle wskazują blisko trzy uwarunkowania, które się przyczyniły, to model obrony, według którego wciąż działa większość przedsiębiorstw, czyli „znajdź lukę, zamknij lukę”, mierzy się z atakującym, któremu wystarczy, by jedno z nich dało się wykorzystać. Tymczasem obrońca musi zarządzać wszystkimi naraz.

To nie jest problem bezpieczeństwa. To problem asymetrii.

Asymetria: jedne drzwi kontra siedem

Spójrzmy na rachunek z perspektywy atakującego.

Współczesny operator ransomware (grupa powiązana z państwem, afiliant RaaS czy niezależna ekipa) nie musi znaleźć i wykorzystać każdej słabości w Twoim środowisku. Potrzebuje jednej realnej ścieżki: jednego niezałatanego systemu, jednego zestawu skompromitowanych poświadczeń, jednego źle skonfigurowanego bucketu w chmurze, jednego użytkownika podatnego na phishing, jednej luki administracyjnej.

Teraz spójrzmy na rachunek z perspektywy obrońcy. Odpowiadasz za:

1. Zarządzanie podatnościami w tysiącach zasobów, w cyklach, przed którymi żaden rytm łatania niezawodnie nie nadąża.
2. Zarządzanie tożsamością użytkowników, kont serwisowych, tożsamości federacyjnych i coraz bardziej autonomicznych agentów.
3. Bezpieczeństwo poczty i narzędzi współpracy, ważny punkt wejścia i ten, w którym czynnik ludzki jest najbardziej zmienny. W ankiecie Sophos złośliwe e-maile i phishing łącznie były pierwotną przyczyną 37% ataków.
4. Ochronę punktów końcowych przed payloadami, które ewoluują szybciej, niż wykrywanie oparte na sygnaturach potrafi się dostosować.
5. Segmentację sieci projektowaną pod modele zagrożeń, które nieustannie się zmieniają.
6. Konfigurację chmury i SaaS w dziesiątkach lub setkach usług, z których każda ma własny model uprawnień.
7. Infrastrukturę kopii zapasowych i odtwarzania, która musi działać w warunkach, którym reszta Twojego stosu już nie zdołała zapobiec.

Atakujący gra na jednym polu tej planszy. Obrońca gra na wszystkich siedmiu, codziennie, z ograniczonymi zasobami.

Te siedem obszarów to nasze ujęcie, a nie siedem opcji odpowiedzi z ankiety Sophos. Lista Sophos opisuje uwarunkowania organizacyjne, takie jak wiedza specjalistyczna, moce przerobowe i nieznane luki, a one przecinają każdy z powyższych obszarów. Wartość 2,7 i tak dostarcza danych na poparcie tezy o asymetrii. Ofiary opisywały swoje ataki (ankieta pytała o poprzednie 12 miesięcy, więc wiele z nich miało miejsce w 2024 roku) jako wynik średnio blisko trzech przyczyniających się uwarunkowań. To nie jest oznaka zaniedbania. To oznaka, że pełna prewencja jest strukturalnie trudna do osiągnięcia.

Dlaczego „wystarczy usunąć pierwotną przyczynę” to zły rachunek

Częstą reakcją na analizę incydentu jest wskazanie „pierwotnej przyczyny” i jej usunięcie. Większość przeglądów poincydentalnych utrwala ten sposób myślenia. Dane Sophos za 2025 rok pokazują, dlaczego to ujęcie, choć intuicyjnie satysfakcjonujące, rozmija się z tym, jak same ofiary opisują, co poszło nie tak.

Jeśli ofiary wskazują średnio 2,7 czynnika, to przegląd, który zatrzymuje się na jednej pierwotnej przyczynie, prawdopodobnie jest niekompletny. Mówi, którymi drzwiami wszedł atakujący. Nie mówi, dlaczego w budynku było tyle niezamkniętych drzwi, że któreś zawsze musiały być dostępne.

Ma to znaczenie operacyjne. Zasoby wydane na konkretny wektor wejścia z zeszłorocznego incydentu to zasoby, których nie wydano na luki architektoniczne, które zdecydują o przyszłorocznym. Nasze odczytanie danych Sophos jest takie, że organizacje działające w trybie jednej pierwotnej przyczyny prawdopodobnie za mało inwestują w warstwowe mechanizmy decydujące o tym, czy jakikolwiek wektor wejścia doprowadzi do katastrofalnych skutków.

Strategiczna zmiana perspektywy wygląda tak: w każdym dostatecznie złożonym środowisku korporacyjnym atakujący w końcu znajdą realną ścieżkę. Pytanie, które decyduje, czy ta ścieżka skończy się zapłaconym okupem, nie brzmi „czy zamknęliśmy wszystkie drzwi?”, lecz „czy nasza architektura przetrwa, gdy któreś z nich się otworzą?”.

Mechanizm kompensacyjny, którego większość przedsiębiorstw nie docenia

Oto architektoniczny wniosek, na który wskazuje wartość 2,7: gdy prewencja z pewną regularnością zawodzi, warstwy decydujące o skutkach biznesowych przesuwają się dalej w łańcuchu.

W tym miejscu architektura kopii zapasowych przestaje być „higieną infrastruktury” i staje się „podstawowym mechanizmem strategicznym”.

W modelu zagrożeń z jednym wektorem kopia zapasowa jest planem awaryjnym. W modelu wieloczynnikowym kopia zapasowa jest mechanizmem kompensacyjnym dla porażek prewencji, które nastąpią. Pierwszy raport Sophos State of Ransomware in Enterprise 2025, oparty na 1733 respondentach z organizacji zatrudniających od 1000 do 5000 pracowników, pokazuje, o jaką stawkę toczy się gra:

• 48% przedsiębiorstw będących ofiarami, których dane zostały zaszyfrowane, zapłaciło okup, aby je odzyskać, wobec 55% w 2024 roku.
• Wykorzystanie kopii zapasowych do przywracania zaszyfrowanych danych w przedsiębiorstwach spadło do 53%, najniższego poziomu od czterech lat, wobec 73% w 2024 roku.
• Organizacje zatrudniające 1000–5000 pracowników wydały na odtworzenie średnio 1,83 mln USD, bez ewentualnego okupu, według głównego raportu z 2025 roku.

Sophos odczytuje dane o płatnościach i kopiach zapasowych łącznie jako wskazujące „to stronger resistance to demands together with weaknesses and lack of backup resilience” (na silniejszy opór wobec żądań, a jednocześnie na słabości i brak odporności kopii zapasowych). Zauważa też, że 30% przedsiębiorstw z zaszyfrowanymi danymi przywróciło je innymi sposobami, więc spadek wykorzystania kopii zapasowych nie jest wyłącznie historią o zawodzących kopiach. Mimo to obraz jest spójny. Mniej ataków dochodzi do etapu szyfrowania, ale gdy już do niego dochodzi, kopie zapasowe udźwignęły odtworzenie tylko w mniej więcej połowie przypadków w przedsiębiorstwach. Właśnie w luce między dojrzałością prewencji a dojrzałością odtwarzania mieszczą się płatności okupu.

Dla osób odpowiedzialnych za ryzyko w przedsiębiorstwie oznacza to konkretne przesunięcie uwagi architektonicznej. Inwestycje w wykrywanie, tożsamość i łatanie pozostają niezbędne. Ale żadna z nich nie eliminuje wartości 2,7. Zmieniają jedynie to, które trzy drzwi są otwarte danego dnia. Mechanizmem, który decyduje, czy otwarte drzwi staną się incydentem zagrażającym istnieniu firmy, jest ten, który większość organizacji zmodernizowała w niewystarczającym stopniu: architektura przechowująca czyste, niezmienne, zweryfikowane kopie krytycznych danych biznesowych i potrafiąca je przywrócić w warunkach ataku.

Jak 2,7 może wyglądać w trakcie incydentu

Sophos nie rozkłada wartości 2,7 na sekwencję, więc poniższy opis to nasza ilustracja tego, jak czynniki mogą się składać w środowisku korporacyjnym, a nie dane z ankiety:

Czynnik pierwszy to zwykle wektor wejścia: niezałatane urządzenie brzegowe, skompromitowane poświadczenie używane w wielu systemach lub skuteczny e-mail phishingowy. To tę porażkę raport poincydentalny nazwie „pierwotną przyczyną”.

Czynnik drugi to zazwyczaj porażka w obszarze uprawnień lub widoczności, która pozwoliła rozszerzyć początkowy przyczółek: nadmierne stałe uprawnienia, luki w wykrywaniu ruchu bocznego czy niewystarczająca segmentacja między jednostkami biznesowymi.

Czynnik trzeci to ten, na którym się skupiamy: porażka warstwy odtwarzania, która zamienia opanowane naruszenie w zapłacony okup. Poświadczenia kopii zapasowych osiągalne z produkcji, polityki retencji, które mogą modyfikować skompromitowani administratorzy, albo procedury przywracania, których nigdy nie przetestowano w scenariuszu, z jakim zespół właśnie się mierzy. Sophos ma tu jeden wąski punkt danych: w głównym raporcie z 2025 roku spośród 151 organizacji, które zapłaciły więcej niż wynosiło początkowe żądanie okupu, 38% stwierdziło, że ich kopie zapasowe zawiodły lub działały nieprawidłowo.

Dwa pierwsze czynniki przyciągają uwagę podczas reagowania na incydent. Trzeci często decyduje o wyniku finansowym, a trudno go rzetelnie ocenić, dopóki incydent nie wymusi tego pytania.

Na tę rzeczywistość operacyjną wskazuje wartość 2,7. Czynniki nie są abstrakcyjne: razem tworzą sekwencję porażek, która zamienia możliwe do opanowania zdarzenie bezpieczeństwa w kryzys na poziomie zarządu.

Co to oznacza dla alokacji ryzyka

Jeśli uznasz ustalenie 2,7 za istotne architektonicznie (a ankieta wśród 3400 organizacji będących ofiarami utrudnia jego zlekceważenie), wynika z tego kilka wniosków dotyczących alokacji.

Rozkładaj inwestycje wzdłuż całego łańcucha porażek, a nie w obrębie jednej warstwy. Podwojenie nakładów na bezpieczeństwo poczty przy niezmienionej architekturze odtwarzania zmienia jedynie to, który czynnik zawiedzie pierwszy, a nie zmniejsza łącznej liczby porażek. Budżety bezpieczeństwa, które nieproporcjonalnie faworyzują prewencję, a kopie zapasowe traktują jak towarową pozycję w budżecie, działają według modelu zagrożeń, który nie odzwierciedla tego, jak ofiary opisują swoje incydenty.

Oceniaj architektury w scenariuszach wieloczynnikowych, a nie w testach jednego wektora. Test potwierdzający, że jeden mechanizm obrony wytrzymuje, nie dowodzi, że Twoje środowisko przetrwa prawdziwy atak. W ankiecie Sophos ofiary wskazywały średnio blisko trzy przyczyniające się czynniki. Ćwiczenia sztabowe i zadania red teamu powinny być projektowane tak, by jawnie testować ten złożony stan.

Mierz zaufanie do odtwarzania, a nie ukończenie kopii zapasowych. Sophos nie podaje, dlaczego wykorzystanie kopii zapasowych w przedsiębiorstwach spadło do 53%, a część spadku odzwierciedla inne metody odtwarzania. Naszym zdaniem wiele architektur kopii zapasowych zaprojektowano z myślą o awariach jednoczynnikowych (padł serwer, użytkownik usunął plik), a teraz oczekuje się od nich działania w warunkach wieloczynnikowych (atakujący jest w sieci od dwóch tygodni i dotknął wszystkiego). To różne problemy. Własne zalecenie Sophos brzmi: „make quality backups and regularly practice restoring data from them” (twórz wysokiej jakości kopie zapasowe i regularnie ćwicz przywracanie z nich danych).

Traktuj warstwę odtwarzania jako mechanizm kompensacyjny, którym się stała. Skoro prewencja czasem zawiedzie, o skutkach decyduje warstwa, która przechowuje czyste, odizolowane, niezmienne kopie danych i potrafi je szybko przywrócić we wrogich warunkach. Tę warstwę trzeba projektować, nadzorować i testować z takim samym rygorem jak środowisko produkcyjne, które chroni.

Gdzie pojawia się BackupSec

W BackupSec nasze podejście opiera się na jednym założeniu: prewencja w końcu gdzieś zawiedzie, a wtedy to warstwa odtwarzania decyduje, czy porażkę da się odwrócić, czy zagrozi ona istnieniu firmy.

Trzy nasze usługi odpowiadają na pytania, które stawia wartość 2,7:

• ZeroMON odpowiada na pytanie „Co tak naprawdę dzieje się teraz w naszym środowisku kopii zapasowych?” Monitoruje Veeam Backup & Replication: kondycję zadań, zmiany konfiguracji z informacją kto, co i kiedy (Forensic & Audit), listę kontrolną Security Analyzer, raporty oraz honeypot na urządzeniu monitorującym. Pokazuje status niezmienności tak, jak raportują go ustawienia repozytorium w samym Veeam. Odczytuje konfigurację Veeam i nie weryfikuje blokad na poziomie obiektów w pamięci masowej. Alerty są wysyłane e-mailem i jako powiadomienia w aplikacji. ZeroMON jest wdrażany lokalnie jako OVA, łączy się za pomocą konta tylko do odczytu i niczego nie wysyła do BackupSec ani do żadnej strony trzeciej.
• ZeroTAM odpowiada na pytanie „Czy mamy wiedzę, by zinterpretować to, co widzimy?” To pytanie kryje się za najczęstszym czynnikiem na liście Sophos. Dedykowany doradca ds. bezpieczeństwa kopii zapasowych zajmuje się architekturą, planowaniem odtwarzania po ransomware i pojemnością, zapewniając priorytetowe wsparcie w kryzysie. To usługa doradcza, a nie oprogramowanie.
• ZeroPEN odpowiada na pytanie „Jak daleko atakujący zaszedłby w ataku na nasze kopie zapasowe?” To test penetracyjny ukierunkowany na zagrożenia, obejmujący Veeam Backup & Replication, Veeam ONE i Enterprise Manager, który symuluje łańcuch ataku ransomware w ośmiu etapach zmapowanych na MITRE ATT&CK, od dostępu początkowego, przez neutralizację kopii zapasowych, po dowód zdolności do szyfrowania. Jest niedestrukcyjny: „never deletes real backups, performs real encryption, or stops production or backup services” (nigdy nie usuwa prawdziwych kopii zapasowych, nie wykonuje prawdziwego szyfrowania ani nie zatrzymuje usług produkcyjnych czy usług kopii zapasowych). Ustalenia są przekazywane wraz z dowodami gotowymi do audytu, a krytyczne ustalenia są testowane ponownie.

Nie zastępujemy Twojej platformy kopii zapasowych. Pomagamy sprawić, by wspierana przez nią warstwa odtwarzania była obserwowalna, zrozumiała i przetestowana w wieloczynnikowych warunkach, które opisują dane Sophos.

Jeśli Twoja organizacja czyta raport Sophos za 2025 rok i dochodzi do wniosku, że odpowiedzią jest zamknięcie wszystkich drzwi, dane mówią coś innego: nie wszystkie drzwi pozostaną zamknięte, a architektura decydująca o tym, co się stanie, gdy któreś się otworzą, to rozmowa, którą warto odbyć w 2026 roku.

Porozmawiaj z BackupSec →

Ta analiza opiera się na raportach Sophos State of Ransomware 2025 oraz State of Ransomware in Enterprise 2025. Interpretacja i ramy są autorstwa BackupSec. Aby omówić, jak ta analiza odnosi się do Twojego środowiska, skontaktuj się z naszym zespołem →