Najnudniejsze ustalenie w danych Sophos jest zarazem najważniejsze
Co roku rozmowa o ransomware coraz głośniej krąży wokół nowych technik ataku. Phishing generowany przez AI. Socjotechnika z użyciem deepfake'ów. Adwersarialne uczenie maszynowe. Techniki living-off-the-land. Ataki na łańcuch dostaw przez mało znane zależności. Narracja niezmiennie sugeruje, że obrońcy mierzą się z zasadniczo nowym zagrożeniem, które wymaga zasadniczo nowych narzędzi.
Przez trzy kolejne edycje raport Sophos State of Ransomware przynosił mniej modną odpowiedź. Edycja 2025 ujmuje to w jednym zdaniu:
"For the third year running, victims identified exploited vulnerabilities as the most common technical root cause of attack, used in 32% of incidents."
(W naszym tłumaczeniu: trzeci rok z rzędu ofiary wskazały wykorzystane podatności jako najczęstszą techniczną pierwotną przyczynę ataku, użytą w 32% incydentów.)
Nie egzotyczna technika. Błąd w oprogramowaniu, którego ofiara już używała, wykorzystany jako droga do środka. Sophos nie dzieli tej kategorii na zero-daye i luki, dla których istniała już poprawka, więc ankieta nie mówi, ile z tych incydentów dało się załatać w dniu ataku. Mówi natomiast, że przez trzy lata ofiary nie wskazywały częściej żadnego innego pojedynczego punktu wejścia.
Ta passa już się skończyła. W edycji 2026 udział wykorzystanych podatności spadł do 18%, za złośliwymi e-mailami (26%), phishingiem (24%) i skompromitowanymi poświadczeniami (23%). Wracamy do tej zmiany niżej, bo wyostrza ona argument, zamiast go osłabiać: główny punkt wejścia zmienił się w ciągu jednego roku, a problem odtwarzania po stronie obrońcy się wraz z nim nie zmienił.
W BackupSec odczytujemy tę trzyletnią passę jako sygnał strategiczny. Luka między znanymi a usuniętymi słabościami zabezpieczeń nie kurczy się w tempie, jakie narzuca prewencja. Ten artykuł analizuje, dlaczego ta luka się utrzymuje, dlaczego sama prewencja nie może jej zamknąć i co to oznacza dla architektury kopii zapasowych w 2026 roku.
Co naprawdę pokazują dane Sophos
Raport Sophos za 2025 rok opiera się na niezależnej, neutralnej wobec producentów ankiecie zleconej przez Sophos i przeprowadzonej przez zewnętrzną wyspecjalizowaną firmę w okresie styczeń–marzec 2025. Obejmuje 3400 liderów IT i cyberbezpieczeństwa z 17 krajów, wszystkich z organizacji zatrudniających od 100 do 5000 pracowników, które w ciągu poprzednich dwunastu miesięcy padły ofiarą ransomware. Sophos nazywa każdy raport od roku przeprowadzenia ankiety i zaznacza, że „many of the attacks referenced occurred in 2024” (wiele z opisanych ataków miało miejsce w 2024 roku). Na pytanie o pierwotną przyczynę odpowiedziało wszystkich 3400 respondentów:
- Wykorzystane podatności: 32% ataków, przyczyna numer 1 trzeci rok z rzędu (36% w raporcie z 2023 roku, 32% w 2024 roku).
- Skompromitowane poświadczenia: 23%, wobec 29% w 2024 roku.
- Złośliwe e-maile: 19%.
- Phishing: 18%, wobec 11% rok wcześniej.
Raporty sektorowe oparte na tej samej ankiecie z 2025 roku w większości powtarzają ten wzorzec. W produkcji przemysłowej wykorzystane podatności były główną przyczyną z wynikiem 32%. W handlu detalicznym prowadziły trzeci rok z rzędu z wynikiem 30%. Nie każdy sektor pasuje do tego obrazu: w ochronie zdrowia wykorzystane podatności znalazły się na szczycie listy z wynikiem 33% „for the first time in three years” (po raz pierwszy od trzech lat). Wzorzec był szeroki, ale nie powszechny.
Jedno zastrzeżenie dotyczące samej ankiety. Rejestruje ona to, co ofiary uważają za pierwotną przyczynę, a dane Sophos z incydentów wyglądają nieco inaczej. W przypadkach reagowania na incydenty i MDR z 2024 roku, opisanych w 2025 Active Adversary Report, prowadziły skompromitowane poświadczenia (41%), a wykorzystane podatności były drugie (22%). Tak czy inaczej wykorzystanie podatności znajduje się na szczycie lub blisko niego.
Ustalenie z ankiety jest ważne ze względu na swoją trwałość. Udział spadł z 36% do 32%, a potem utrzymał się na tym poziomie i przez trzy lata nic go nie wyprzedziło.
To powinno nam coś powiedzieć o architektonicznej naturze problemu.
Dlaczego łatanie zawodzi, nawet gdy organizacje je prowadzą
Intuicyjna reakcja na stwierdzenie „jedna trzecia ataków zaczyna się od wykorzystanej podatności” brzmi: „to łatajmy szybciej”. Ta reakcja jest słuszna, ale operacyjnie niewystarczająca, a powody tego warto rzetelnie przeanalizować.
Problem mianownika. Średniej wielkości organizacja może bez trudu utrzymywać tysiące odrębnych komponentów oprogramowania w systemach operacyjnych, aplikacjach, firmware, obrazach kontenerów i konfiguracjach SaaS. Biuletyny producentów napływają nieustannie. Nawet zespół bezpieczeństwa w szczytowej formie nie załata każdego komponentu w dniu publikacji CVE. Mianownik „rzeczy, które mogą zostać wykorzystane” jest strukturalnie większy niż przepustowość „rzeczy, które da się załatać w tym tygodniu”.
Problem krytyczności. Wiele poprawek wymaga przestoju, testów regresji lub koordynacji z właścicielami biznesowymi, którzy chronią przychody. Systemy, które najbardziej potrzebują łatania (aplikacje wystawione na zewnątrz, starsze systemy produkcyjne, infrastruktura OT i przemysłowych systemów sterowania), to często te, w których przestój kosztuje najwięcej. Poprawki są więc planowane, odkładane, grupowane i w końcu zapominane. Ten dług utrzymaniowy to dokładnie miejsce, w którym atakujący szukający drogi do środka zajrzy najpierw.
Problem wykrywania. Nie da się załatać czegoś, czego się nie widzi. W ankiecie Sophos z 2025 roku luki w zabezpieczeniach, o których organizacja nie wiedziała, były czynnikiem przyczyniającym się w 40,1% ataków, tuż za brakiem wiedzy specjalistycznej (40,2%). Respondenci wskazywali średnio 2,7 przyczyniającego się czynnika, więc są to przyczyny współwystępujące, a nie jedyne. W handlu detalicznym nieznane luki w zabezpieczeniach były najczęściej wskazywaną przyczyną operacyjną, wymienioną przez 46% ofiar. Shadow IT, nieudokumentowane systemy, zapomniane obciążenia w chmurze i integracje z podmiotami zewnętrznymi z własnymi drzewami zależności sprawiają, że współczesną powierzchnię ataku naprawdę trudno w pełni zinwentaryzować. Luka między tym, co pokazuje inwentarz zasobów, a tym, do czego atakujący może faktycznie dotrzeć, to miejsce, w którym żyje wiele wykorzystywanych podatności.
Problem okna czasowego. Nawet gdy podatność jest znana, a poprawka istnieje, czas do jej wykorzystania drastycznie się skrócił. Analiza czasu do wykorzystania przeprowadzona przez Mandiant wykazała średnio 63 dni w latach 2018–2019, 32 dni w latach 2021–2022 i pięć dni w 2023 roku. Spośród śledzonych luk, które wykorzystano, gdy poprawka była już dostępna, 12% wykorzystano w ciągu jednego dnia, a 29% w ciągu tygodnia. Ponadto 70% wykorzystanych podatności śledzonych w 2023 roku użyto jako zero-day, zanim w ogóle istniała jakakolwiek poprawka. Okno na łatanie sprzed kilku lat przestało istnieć.
Żadnego z tych problemów nie rozwiązuje zakup kolejnego narzędzia do zarządzania podatnościami. To strukturalne cechy sposobu, w jaki organizacje prowadzą IT, i pomagają wyjaśnić, dlaczego wykorzystane podatności przez trzy lata utrzymywały się na szczycie listy Sophos.
Rozproszenie uwagi przez AI
Dane Sophos za 2025 rok były też przydatną korektą dominującej narracji o atakach napędzanych przez AI.
Rozmowa w branży w 2025 roku mocno koncentrowała się na kampaniach phishingowych generowanych przez AI, socjotechnice z użyciem deepfake'ów i unikaniu wykrycia wspomaganym uczeniem maszynowym. Te zagrożenia są realne i zasługują na uwagę. Phishing rzeczywiście wzrósł w ankiecie z 2025 roku, z 11% do 18% ataków. Sophos nie podaje, jaka część tego wzrostu pochodziła z przynęt pisanych przez AI, i my też nie potrafimy tego powiedzieć. Dane z 2025 roku pokazują natomiast, że phishing nie wyparł wykorzystanych podatności z pozycji głównego punktu wejścia.
Edycja 2026 przesuwa ten obraz. Prowadzenie objęły ataki oparte na poczcie e-mail: złośliwe e-maile (26%) i phishing (24%) łącznie odpowiadały za połowę wszystkich incydentów, a wykorzystane podatności spadły o 14 punktów, do 18%. Sophos również tej zmiany nie przypisuje AI.
Praktyczny wniosek dla osób odpowiedzialnych za ryzyko: podchodźcie sceptycznie do każdej narracji, łącznie z naszą, która twierdzi, że najważniejszą inwestycją obronną jest ten wektor, który prowadzi w danym roku. Lider zmienił się w ciągu dwunastu miesięcy. Obrona zależna od zamknięcia jednych konkretnych drzwi to zakład na ruchomy cel. Trwalszą inwestycją jest ta, która sprawia, że żaden pojedynczy wektor wejścia nie jest aż tak nośny dla ostatecznego wyniku.
Co w praktyce oznacza „mniej nośny”
Oto wniosek architektoniczny, który wynika z przyjęcia, że wykorzystywania podatności nie da się całkowicie wyeliminować. Jeśli istotna część ataków nadal będzie się zaczynać od luki, której nie załatano na czas (mniej więcej jedna trzecia w trzech kolejnych ankietach Sophos i wciąż prawie jedna na pięć w czwartej), to strategiczne pytanie zmienia się z „jak łatać szybciej?” na „co się stanie, gdy nie zdążymy?”.
Tego pytania większość architektur bezpieczeństwa wciąż unika.
W modelu obrony, który zakłada, że prewencja działa, wykorzystanie podatności traktuje się jako porażkę do wyeliminowania. W modelu obrony, który traktuje dane Sophos poważnie, jest ono powtarzającym się stanem, który reszta architektury musi zaabsorbować bez katastrofalnych skutków.
Przejście od eliminacji do absorpcji to ta sama zmiana, którą dojrzała inżynieria niezawodności przeszła wiele lat temu. W systemach rozproszonych nie eliminuje się awarii. Projektuje się systemy, które łagodnie degradują się, gdy awarie wystąpią. Mierzy się średni czas do odtworzenia, a nie tylko średni czas między awariami. Odporność traktuje się jako podstawową właściwość architektury, a nie sprzątanie po tym, jak zawiedzie prewencja.
Bezpieczeństwo powoli zaczyna stosować tę samą logikę. Dane Sophos są, w naszym odczytaniu, mocnym dowodem, że ta zmiana jest spóźniona.
Gdzie architektura kopii zapasowych staje się punktem zwrotnym
Gdy podatność zostaje wykorzystana, a atakujący zdobywa przyczółek, dalszy łańcuch jest dobrze udokumentowany: ruch boczny, eskalacja uprawnień, rozpoznanie, eksfiltracja i w końcu uruchomienie ładunku. Przebiega też szybko. W przypadkach z 2024 roku, na których opiera się 2025 Active Adversary Report firmy Sophos, mediana czasu przebywania atakującego w środowisku (dwell time) wynosiła 4 dni w przypadkach reagowania na incydenty ransomware i 3 dni w przypadkach MDR. Tyle czasu ma atakujący, by znaleźć i zneutralizować mechanizmy, które w przeciwnym razie umożliwiłyby odtworzenie, i jest to krócej niż większość cykli przeglądów.
Najważniejszym z tych mechanizmów jest środowisko kopii zapasowych.
Jeśli do infrastruktury kopii zapasowych można dotrzeć z systemu skompromitowanego przez wykorzystaną podatność, to podatność nie tylko umożliwiła atak. Umożliwiła mu zwycięstwo. Wykorzystana CVE w aplikacji wystawionej do internetu ma architektonicznie mniejsze znaczenie ze względu na to, co robi na tym hoście, niż ze względu na to, co pozwala atakującemu zrobić z Twoją warstwą odtwarzania w kolejnych dniach.
To jest punkt zwrotny, na który wskazują dane Sophos. Wykorzystane podatności pozostaną jedną z głównych dróg do środka, niezależnie od ich pozycji w danym roku. Zmienną, która decyduje o wyniku, jest to, czy Twoja architektura odtwarzania jest osiągalna z systemów, na których atakujący zdobywają przyczółki.
Konkretnie oznacza to:
Separację tożsamości. Poświadczenia chroniące systemy produkcyjne nie mogą dawać dostępu do infrastruktury kopii zapasowych. Jeśli skompromitowane konto administratora domeny może dotrzeć do repozytorium kopii zapasowych, Twoje kopie są częścią powierzchni ataku, którą odsłoniła niezałatana podatność.
Zweryfikowaną niezmienność. Programowe polityki retencji może zmodyfikować każdy, kto ma wystarczające uprawnienia. Blokady retencji egzekwowane sprzętowo lub przez platformę mają się temu opierać, ale „skonfigurowane” i „rzeczywiście działające zgodnie z zamierzeniem” to różne twierdzenia, a rozróżnić je może tylko test. Niezależnie od tego, czy niezmienność egzekwuje platforma kopii zapasowych, warstwa pamięci masowej czy utwardzone repozytorium (hardened repository), liczy się to, czy została przetestowana w warunkach ataku, a nie tylko włączona w panelu ustawień.
Izolację sieci i zaufania. Środowisko kopii zapasowych w tej samej domenie sieciowej co systemy produkcyjne jest, z punktu widzenia modelowania zagrożeń, częścią produkcji. To izolacja logiczna i fizyczna zmienia infrastrukturę kopii zapasowych z „kolejnego celu” w „warstwę, która przetrwa, gdy inne cele nie przetrwają”.
Regularną walidację przywracania. W ankiecie Sophos z 2025 roku tylko 54% organizacji, których dane zostały zaszyfrowane, przywróciło je z kopii zapasowych, co jest najniższym wynikiem od sześciu lat i trzecim spadkiem z rzędu. Sophos nie pyta pozostałych o powody. Podaje natomiast, że 29% skorzystało z „other means” (innych sposobów), co według Sophos prawdopodobnie obejmuje klucze deszyfrujące, które zostały upublicznione (można było wybrać wiele odpowiedzi). Jedyny bezpośredni punkt danych Sophos dotyczący zawodzących kopii zapasowych jest wąski: spośród 151 organizacji, które zapłaciły więcej niż wynosiło początkowe żądanie, 38% stwierdziło, że ich kopie zapasowe zawiodły lub działały nieprawidłowo. Edycja 2026 pokazuje odbicie: 66% ofiar z zaszyfrowanymi danymi odtworzyło je z kopii zapasowych. Tak czy inaczej kopia zapasowa, której nigdy nie przywrócono w realistycznych warunkach, jest hipotezą, a nie mechanizmem kontrolnym.
Strategiczna zmiana perspektywy
Dla osób odpowiedzialnych za ryzyko trzyletnia obecność wykorzystywania podatności na szczycie listy nie jest aktem oskarżenia wobec programów zarządzania podatnościami. Jest dowodem, że zarządzanie podatnościami, nawet świetnie realizowane, nie udźwignie samodzielnie całego ciężaru obrony przed ransomware.
Ustalenie z 2025 roku, że 32% ataków zaczęło się od wykorzystanej podatności, należy czytać razem z inną liczbą z tej samej ankiety: 49% organizacji, których dane zostały zaszyfrowane, zapłaciło okup, wobec 56% rok wcześniej. W edycji 2026 odsetek ten wyniósł 48%, a Sophos szacuje średnią z czterech lat na mniej więcej 50%. W naszym odczytaniu te liczby są ze sobą powiązane. Opisują postawę, w której od prewencji wymaga się nieomylności, ponieważ na warstwie odtwarzania nie można polegać. Korekta nie polega na uczynieniu prewencji jeszcze bardziej nieomylną. Polega na uczynieniu odtwarzania na tyle niezawodnym, by porażki prewencji nie decydowały o wynikach biznesowych.
Ta korekta ma charakter architektoniczny i jest spóźniona. Lukę zamkną organizacje, których warstwa odtwarzania potrafi zaabsorbować incydent bez względu na to, którymi drzwiami przyszedł. Dane z 2026 roku pokazują, jak szybko mogą się zmienić najbardziej uczęszczane drzwi.
Gdzie pojawia się BackupSec
W BackupSec wychodzimy z założenia, że prewencja czasem zawiedzie, a gdy tak się stanie, wynik zależy od dwóch rzeczy: czy istnieją czyste, odizolowane kopie Twoich danych i czy ktokolwiek sprawdził, że warstwa kopii zapasowych wytrzyma nadchodzący atak.
Trzy nasze usługi odpowiadają opisanym wyżej lukom:
- ZeroMON monitoruje Veeam Backup & Replication. Działa lokalnie jako OVA, łączy się za pomocą konta tylko do odczytu i niczego nie wysyła do BackupSec ani do żadnej strony trzeciej. Śledzi kondycję zadań i zmiany konfiguracji w Veeam (kto co zmienił i kiedy), pokazuje status niezmienności tak, jak raportują go ustawienia repozytorium w samym Veeam, pokazuje wyniki Security & Compliance Analyzer z Veeam i zawiera honeypot, który rejestruje skanowania i próby połączeń z urządzeniem ZeroMON jako wczesny sygnał rozpoznania. Alerty są wysyłane e-mailem i jako powiadomienia w aplikacji. Ponieważ odczytuje konfigurację Veeam, nie weryfikuje blokad na poziomie obiektów w samej pamięci masowej.
- ZeroTAM zapewnia Twojemu zespołowi dedykowanego doradcę ds. bezpieczeństwa kopii zapasowych w zakresie architektury, planowania odtwarzania po ransomware i pojemności, z priorytetowym wsparciem w kryzysie. To praca doradcza, a nie oprogramowanie.
- ZeroPEN to test penetracyjny ukierunkowany na zagrożenia, obejmujący Veeam Backup & Replication oraz Veeam ONE i Enterprise Manager. Symuluje łańcuch ataku ransomware w ośmiu etapach zmapowanych na MITRE ATT&CK, od dostępu początkowego, przez przejęcie serwera Veeam, dostęp do repozytorium i neutralizację kopii zapasowych, po dowód zdolności do szyfrowania. Jest niedestrukcyjny: „ZeroPEN never deletes real backups, performs real encryption, or stops production or backup services” (ZeroPEN nigdy nie usuwa prawdziwych kopii zapasowych, nie wykonuje prawdziwego szyfrowania ani nie zatrzymuje usług produkcyjnych czy usług kopii zapasowych). Otrzymujesz gotowe do audytu dowody tego, do czego mógłby dotrzeć atakujący z przyczółkiem, oraz ponowny test dla krytycznych ustaleń.
Wartość 32% nigdy nie była przeznaczeniem, a wartość 18% z 2026 roku nie jest wytchnieniem. Obie opisują drzwi frontowe. O wyniku decyduje to, czy warstwa odtwarzania zawiedzie razem z warstwą prewencji. Rozdzielenie ich nie uodporni Cię na wykorzystywane podatności. Sprawi natomiast, że przeoczona poprawka znacznie rzadziej zdecyduje o tym, czy zapłacisz.
Porozmawiaj z BackupSec o testach penetracyjnych kopii zapasowych →
Ta analiza opiera się na raportach Sophos State of Ransomware 2025 i 2026, raportach sektorowych Sophos z 2025 roku dla produkcji przemysłowej, handlu detalicznego i ochrony zdrowia, raporcie Sophos 2025 Active Adversary Report oraz analizie czasu do wykorzystania podatności przeprowadzonej przez Mandiant w 2023 roku. Interpretacja i ramy są autorstwa BackupSec. Aby omówić, jak odnoszą się do Twojego środowiska, skontaktuj się z naszym zespołem →