Problem 2,7: Dlaczego współczesny ransomware zawsze wygrywa, bo ma matematykę po swojej stronie

Najbardziej niedoceniana liczba w raporcie Sophos z 2025 roku

Kiedy Sophos opublikował swój raport State of Ransomware 2025, większość doniesień medialnych skupiła się na kluczowych wskaźnikach: spadku wskaźnika szyfrowania danych, poprawie czasu odzyskiwania danych oraz spadku płatności okupu. Te liczby są prawdziwe i mają znaczenie. Jednak w sekcji raportu analizowanej po raz pierwszy w tym roku — dotyczącej czynników organizacyjnych, które sprawiły, że firmy były narażone na atak — kryje się pojedyncza statystyka, która naszym zdaniem całkowicie zmienia sposób, w jaki liderzy ryzyka w przedsiębiorstwach powinni myśleć o ransomware.

Wśród 3 400 przebadanych organizacji ofiary wskazały średnio 2,7 różnych czynników sprawczych stojących za atakami, które okazały się wobec nich skuteczne.

Nie jeden. Nawet nie dwa. Niemal trzy niezależne słabości działające jednocześnie w każdym udanym incydencie.

To nie jest przypis. To matematyczny dowód na to, że era obrony przed ransomware opartej na pojedynczym mechanizmie kontrolnym się skończyła — a architektura backupu po cichu stała się najważniejszą kontrolą kompensującą w nowoczesnym stosie technologicznym przedsiębiorstwa.

W BackupSec uważamy, że liczba 2,7 to najbardziej użyteczna strategicznie wartość w całym raporcie. W tym artykule wyjaśniamy, co ona właściwie oznacza, dlaczego czyni strategie oparte wyłącznie na prewencji matematycznie nie do utrzymania oraz co to oznacza dla organizacji wciąż traktujących backup jako dodatek do „prawdziwego” bezpieczeństwa.

Co naprawdę oznacza liczba 2,7

W raporcie Sophos z 2025 roku po raz pierwszy poproszono respondentów o wskazanie organizacyjnych czynników, które przyczyniły się do ataku na ich firmę — nie tylko technicznego punktu wejścia, ale szerszych warunków operacyjnych, które sprawiły, że stali się podatni na atak. Wyniki tworzą obraz, którego żadne streszczenie zarządcze nie jest w stanie w pełni oddać:

• 40,2% wskazało brak wiedzy specjalistycznej — niewystarczające umiejętności lub wiedzę, by wykryć i powstrzymać atak na czas.
• 40,1% wskazało nieznane luki w zabezpieczeniach — słabości w obronie, o których nie wiedziały aż do momentu incydentu.
• Znaczący odsetek respondentów wskazał również brak zasobów, brak odpowiednich produktów ochronnych, luki w dyscyplinie procesowej oraz niepełną widoczność własnej powierzchni ataku.
• Na to nakładają się techniczne przyczyny źródłowe: wykorzystane podatności (32%), przejęte dane uwierzytelniające (23%), złośliwe wiadomości e-mail (19%) oraz phishing (18%).

Gdy respondenci zsumowali czynniki, które ich zdaniem przyczyniły się do incydentu, średnia wyniosła 2,7. Sophos nazywa to „złożoną, wieloaspektową sytuacją”. My nazwalibyśmy to czymś bardziej precyzyjnym: strukturalną nieuchronnością.

Jeśli każdy udany incydent ransomware w 2025 roku wiązał się z niemal trzema niezależnymi awariami, to ukryty model obrony, na którym wciąż opiera się większość przedsiębiorstw — „znajdź lukę, zamknij lukę” — działa przeciwko atakującemu, który musi znaleźć tylko jedną z tych trzech. Tymczasem obrońca musi zarządzać nimi wszystkimi jednocześnie.

To nie jest problem bezpieczeństwa. To problem asymetrii.

Asymetria: jedne drzwi kontra siedem drzwi

Rozważmy tę matematykę z perspektywy atakującego.

Współczesny operator ransomware — niezależnie od tego, czy jest to grupa powiązana z państwem, partner programu RaaS, czy niezależny operator — nie musi identyfikować i wykorzystywać każdej słabości w Twoim środowisku. Potrzebuje znaleźć jedną skuteczną drogę: jeden niezałatany system, jeden zestaw przejętych danych uwierzytelniających, jeden źle skonfigurowany zasobnik w chmurze, jednego użytkownika podatnego na phishing, jedną lukę administracyjną.

Teraz rozważmy tę matematykę z perspektywy obrońcy. Jesteś odpowiedzialny za:

1. Zarządzanie podatnościami w tysiącach zasobów, w cyklach, których żaden harmonogram łatania nie jest w stanie wiarygodnie wyprzedzić.
2. Zarządzanie tożsamością obejmujące użytkowników, konta usługowe, tożsamości federacyjne oraz coraz bardziej autonomiczne agenty.
3. Bezpieczeństwo poczty e-mail i narzędzi do współpracy — najczęstszy punkt wejścia i ten z największą zmiennością czynnika ludzkiego.
4. Ochronę punktów końcowych przed ładunkami, które ewoluują szybciej, niż jest w stanie nadążyć detekcja oparta na sygnaturach.
5. Segmentację sieci projektowaną w oparciu o modele zagrożeń, które nieustannie się zmieniają.
6. Konfigurację chmury i SaaS obejmującą dziesiątki lub setki usług, z których każda ma własny model uprawnień.
7. Infrastrukturę backupu i odzyskiwania danych, która musi działać w warunkach, którym reszta Twojego stosu technologicznego nie zdołała już zapobiec.

Atakujący gra jednym polem na tej planszy. Obrońca gra wszystkimi siedmioma, każdego dnia, dysponując ograniczonymi zasobami.

Liczba 2,7 z raportu Sophos jest empirycznym potwierdzeniem, że ta asymetria nie jest już hipotetyczna. W rzeczywistych incydentach, które miały miejsce w 2025 roku, obrońcy zawodzili niemal na trzech polach jednocześnie — nie dlatego, że byli niedbali, ale dlatego, że sam model jest strukturalnie ustawiony przeciwko pełnej prewencji.

Dlaczego „po prostu usuń przyczynę źródłową” to zła matematyka

Typową reakcją na analizę incydentu jest zidentyfikowanie „przyczyny źródłowej” i jej usunięcie. Ramy zgodności (compliance) wzmacniają to podejście. Podobnie większość analiz powdrożeniowych po incydencie. Dane Sophos z 2025 roku ujawniają, dlaczego takie ujęcie sprawy, choć intuicyjnie satysfakcjonujące, jest coraz bardziej oderwane od tego, jak w rzeczywistości przebiegają współczesne incydenty.

Jeśli przeciętny udany incydent wiąże się z 2,7 czynnikami sprawczymi, to identyfikacja pojedynczej przyczyny źródłowej jest z definicji analizą niepełną. Mówi ona, którymi drzwiami wszedł atakujący — nie mówi natomiast, dlaczego budynek miał tak wiele niezamkniętych drzwi, że któreś z nich zawsze musiały być dostępne.

Ma to znaczenie operacyjne, ponieważ zasoby poświęcone na obsesyjną analizę konkretnego wektora wejścia zeszłorocznego incydentu to zasoby niewydane na luki architektoniczne, które zadecydują o incydencie w przyszłym roku. Dane Sophos sugerują, że organizacje działające w trybie „jednej przyczyny źródłowej” systematycznie niedoinwestowują warstwowe mechanizmy kontrolne, które decydują o tym, czy jakikolwiek wektor wejścia doprowadzi do katastrofalnego skutku.

Strategiczne przeformułowanie brzmi następująco: w każdym wystarczająco złożonym środowisku korporacyjnym atakujący prędzej czy później znajdą skuteczną drogę. Pytaniem decydującym o tym, czy ta droga zakończy się zapłaconym okupem, nie jest „czy zamknęliśmy wszystkie drzwi?”, lecz „czy nasza architektura przetrwa, gdy któreś z nich się otworzą?”.

Kontrola kompensująca, którą większość przedsiębiorstw niedocenia

Oto architektoniczny wniosek, którego liczba 2,7 nie pozwala uniknąć: skoro prewencja będzie zawodzić z matematyczną regularnością, warstwy decydujące o wyniku biznesowym przesuwają się dalej w dół łańcucha.

To właśnie w tym miejscu architektura backupu przechodzi od roli „higieny infrastruktury” do „podstawowej kontroli strategicznej”.

W modelu zagrożeń opartym na pojedynczym wektorze backup jest rozwiązaniem awaryjnym. W modelu zagrożeń obejmującym 2,7 czynnika backup jest kontrolą kompensującą dla każdej awarii prewencji, która nieuchronnie nastąpi. Dane Sophos z 2025 roku pokazują to w wyrazisty sposób:

• 48% organizacji korporacyjnych zapłaciło okup, mimo poprawy w obszarze prewencji.
• Wykorzystanie backupu do odzyskania zaszyfrowanych danych spadło do najniższego poziomu od czterech lat, wynoszącego 53%, w porównaniu z 73% rok wcześniej.
• Przeciętny koszt odzyskiwania danych w przedsiębiorstwach osiągnął 1,83 mln USD w przypadku organizacji zatrudniających od 1000 do 5000 pracowników — a kwota ta nie obejmuje ewentualnie zapłaconego okupu.

Gdy odczytuje się te liczby w kontekście 2,7 czynnika, obraz staje się spójny: organizacje coraz lepiej zapobiegają części ataków, ale nie usprawniają architektury odzyskiwania danych, która decyduje o wyniku, gdy prewencja zawiedzie. Efektem jest pogłębiająca się luka między dojrzałością prewencji a dojrzałością odzyskiwania danych — i to właśnie w tej luce mieszczą się płacone okupy.

Dla liderów ryzyka w przedsiębiorstwach oznacza to konieczność konkretnego przesunięcia uwagi architektonicznej. Inwestycje w detekcję, tożsamość i zarządzanie poprawkami pozostają niezbędne. Żadna z nich nie eliminuje jednak owej liczby 2,7. Zmieniają one jedynie to, które trzy drzwi są otwarte danego dnia. Kontrolą decydującą o tym, czy otwarte drzwi staną się incydentem zagrażającym istnieniu firmy, jest ta, którą większość organizacji najbardziej zaniedbała pod względem modernizacji: architektura przechowująca czyste, niezmienne i zwalidowane kopie danych krytycznych dla biznesu, którą można przywrócić w warunkach działania przeciwnika.

Jak 2,7 wygląda w rzeczywistym incydencie

Aby to skonkretyzować, przyjrzyjmy się, z czego zazwyczaj składa się owe 2,7 w rzeczywistym środowisku korporacyjnym. Konkretne czynniki różnią się w zależności od przypadku, ale wzorzec pozostaje niezmienny:

Czynnik pierwszy to zazwyczaj wektor wejścia: niezałatane urządzenie brzegowe, przejęte dane uwierzytelniające ponownie wykorzystywane w wielu systemach lub skuteczny e-mail phishingowy. To właśnie tę awarię raport powdrożeniowy nazwie „przyczyną źródłową”.

Czynnik drugi to zazwyczaj awaria w obszarze uprawnień lub widoczności, która pozwoliła rozszerzyć początkowy przyczółek: nadmierne stałe uprawnienia, luki w wykrywaniu ruchu bocznego (lateral movement) lub niewystarczająca segmentacja między jednostkami biznesowymi.

Czynnik trzeci to niemal zawsze awaria w warstwie odzyskiwania danych, która zamieniła opanowane naruszenie w zapłacony okup: dane uwierzytelniające backupu dostępne ze środowiska produkcyjnego, polityki retencji modyfikowalne przez przejętych administratorów lub procedury przywracania, które nigdy nie zostały przetestowane w scenariuszu, przed jakim zespół faktycznie stoi teraz.

Pierwsze dwa czynniki przyciągają uwagę podczas reagowania na incydent. Trzeci decyduje o wyniku finansowym. I to właśnie trzeci jest tym, który większość przedsiębiorstw jest najmniej przygotowana ocenić w sposób rzetelny, zanim zmusi je do tego sam incydent.

To właśnie ta operacyjna rzeczywistość kryje się za liczbą 2,7. Te czynniki nie są abstrakcyjne — to konkretny ciąg awarii, który zamienia możliwe do opanowania zdarzenie bezpieczeństwa w kryzys na poziomie zarządu.

Co to oznacza dla alokacji ryzyka

Jeśli uzna się wniosek dotyczący liczby 2,7 za istotny architektonicznie — a leżący u jego podstaw zbiór danych Sophos obejmujący 3 400 organizacji sprawia, że trudno go zignorować — wynika z tego kilka wniosków dotyczących alokacji zasobów.

Dywersyfikuj inwestycje w całym łańcuchu awarii, a nie w obrębie jednej warstwy. Podwojenie nakładów na bezpieczeństwo poczty e-mail przy niezmienionej architekturze odzyskiwania danych zmienia jedynie to, który czynnik zawiedzie jako pierwszy — nie zmniejsza to całkowitej liczby awarii. Budżety bezpieczeństwa korporacyjnego, które w nieproporcjonalny sposób alokują środki na prewencję, traktując backup jak zwykłą pozycję kosztową, działają w oparciu o model zagrożeń, który nie odzwierciedla już tego, jak faktycznie przebiegają incydenty.

Oceniaj architekturę pod kątem scenariuszy wieloczynnikowych, a nie testów pojedynczego wektora. Test penetracyjny potwierdzający, że jeden mechanizm obronny się broni, nie jest dowodem na to, że Twoje środowisko przetrwa rzeczywisty atak. Dane Sophos pokazują, że rzeczywiste ataki wykorzystują niemal trzy słabości jednocześnie. Ćwiczenia tabletop oraz działania zespołów red team powinny być zaprojektowane tak, by wprost testować ten złożony warunek.

Mierz pewność co do odzyskiwania danych, a nie samo wykonanie backupu. Wskaźnik wykorzystania backupu na poziomie 53% w danych korporacyjnych Sophos nie opowiada o backupach generalnie zawodzących. Opowiada o architekturach backupu zaprojektowanych pod kątem awarii jednoczynnikowych (padł serwer, użytkownik usunął plik), od których oczekuje się teraz działania w warunkach wieloczynnikowych (atakujący przebywał w sieci od dwóch tygodni i dotknął wszystkiego). To są różne problemy, a większość korporacyjnych środowisk backupu została zbudowana z myślą o tym pierwszym.

Traktuj warstwę odzyskiwania danych jako kontrolę kompensującą, którą się już stała. Skoro prewencja będzie zawodzić z matematyczną regularnością, warstwą decydującą o wyniku jest ta, która przechowuje czyste, izolowane, niezmienne kopie danych i potrafi je szybko przywrócić w warunkach wrogiego działania. Ta warstwa musi być projektowana, zarządzana i testowana z taką samą rygorystycznością jak środowisko produkcyjne, które chroni.

Gdzie w tym wszystkim jest BackupSec

W BackupSec całe nasze podejście opiera się na jednej architektonicznej przesłance: prewencja prędzej czy później zawiedzie, a gdy to nastąpi, to warstwa odzyskiwania danych decyduje o tym, czy awaria będzie możliwa do naprawienia, czy będzie zagrażać istnieniu firmy.

Wniosek dotyczący liczby 2,7 płynący z danych Sophos jest pod wieloma względami empirycznym uzasadnieniem tej przesłanki. Trzy usługi, które świadczymy — obserwowalność, doradztwo oraz potwierdzoną testami penetracyjnymi możliwość odzyskiwania danych — zostały zaprojektowane, by odpowiedzieć na pytania, z którymi liczba 2,7 zmusza zmierzyć się liderów ryzyka w przedsiębiorstwach:

• ZeroMON odpowiada na pytanie „Co nasze środowisko backupu faktycznie robi w tej chwili?” — poprzez ciągłe monitorowanie operacji backupowych i sygnałów bezpieczeństwa, ślady audytowe kryminalistyczne w czasie rzeczywistym, wykrywanie dryfu konfiguracji oraz widoczność gotową dla środowisk Veeam obejmującą cały zasób backupowy.
• ZeroTAM odpowiada na pytanie „Czy mamy wiedzę specjalistyczną, by zinterpretować to, co widzimy?” — poprzez dedykowanego doradcę ds. bezpieczeństwa backupu, który zna Twoje środowisko, priorytety odzyskiwania danych i architekturę, dostępnego zarówno do proaktywnego doradztwa, jak i reagowania kryzysowego, bez uciążliwości rotujących zgłoszeń serwisowych.
• ZeroPEN odpowiada na pytanie „Czy rzeczywiście jesteśmy w stanie odzyskać dane, gdy zawiedzie warstwa prewencji?” — poprzez testy penetracyjne backupu obejmujące płaszczyzny zarządzania, mechanizmy kontroli dostępu oraz poziom niezmienności danych, a następnie rzeczywiste scenariusze przywracania, które potwierdzają czyste, kompletne i terminowe odzyskanie danych zgodnie z zadeklarowanymi wskaźnikami RTO i RPO.

BackupSec jest wdrażany lokalnie (on-premise), łączy się poprzez dostęp API wyłącznie do odczytu i nigdy nie przenosi danych backupowych ani telemetrii poza Twoje środowisko. Nie zastępujemy Twojej platformy backupowej — sprawiamy, że warstwa odzyskiwania danych, którą ta platforma obsługuje, staje się obserwowalna, doradczo wspierana i możliwa do udowodnienia w warunkach wieloczynnikowych opisanych w danych Sophos.

Jeśli Twoja organizacja, czytając raport Sophos 2025, dochodzi do wniosku, że rozwiązaniem jest zamknięcie wszystkich drzwi, dane mówią coś innego: nie wszystkie drzwi pozostaną zamknięte, a architektura decydująca o tym, co się stanie, gdy któreś z nich się otworzy, to rozmowa, którą warto przeprowadzić w 2026 roku.

Porozmawiaj z BackupSec o walidacji odzyskiwania danych →

Niniejsza analiza opiera się na raporcie Sophos State of Ransomware 2025 oraz szerszym krajobrazie badań nad ransomware z 2025 roku. Zaprezentowana tu interpretacja i ramy koncepcyjne są autorstwa BackupSec. Aby omówić, jak ta analiza odnosi się do Twojego konkretnego środowiska, skontaktuj się z naszym zespołem →