Najnudniejsze odkrycie raportu Sophos z 2025 roku jest zarazem najważniejsze
Co roku dyskusja o ransomware staje się coraz głośniejsza w temacie nowych technik ataku. Phishing generowany przez AI. Inżynieria społeczna oparta na deepfake'ach. Wrogie wykorzystanie uczenia maszynowego (adversarial machine learning). Techniki living-off-the-land. Kompromitacje łańcucha dostaw przez mało znane zależności. Narracja niezmiennie sugeruje, że obrońcy stają w obliczu fundamentalnie nowego zagrożenia, które wymaga fundamentalnie nowych narzędzi.
I co roku raport Sophos State of Ransomware, oparty na niezależnym od dostawców badaniu tysięcy ofiar, przynosi tę samą, niemodną odpowiedź.
Trzeci rok z rzędu wykorzystane podatności są najczęstszą techniczną przyczyną incydentów ransomware — odpowiadają za 32% ataków w 2025 roku.
Nie nowatorskie techniki AI. Nie zero-daye. Nie egzotyczne ataki na łańcuch dostaw. Poprawki, które istniały, ale nie zostały zastosowane. Konfiguracje, o których wiadomo było, że są błędne. CVE z publicznie dostępnymi exploitami i biuletynami producentów, które trafiły do kolejki i nigdy z niej nie wyszły.
To odkrycie, które powinno wywołać niepokój u każdego lidera bezpieczeństwa w organizacji, ponieważ nie da się go rozwiązać zakupem kolejnego narzędzia. To strukturalny problem związany z tym, jak środowiska korporacyjne gromadzą dług technologiczny — a dane z 2025 roku sugerują, że żadna kwota zainwestowana w zaawansowaną detekcję nie jest w stanie tej luki zamknąć.
W BackupSec odczytujemy utrzymującą się pozycję wykorzystywania podatności jako przyczyny numer jeden jako sygnał strategiczny: luka między słabościami bezpieczeństwa, które są znane, a tymi, które są usunięte, jest najbardziej wiarygodnym wskaźnikiem tego, które organizacje znajdą się w przyszłorocznej kolumnie „zapłacili okup”. Ten artykuł wyjaśnia, dlaczego ta luka się utrzymuje, dlaczego nie da się jej zamknąć samą prewencją, oraz jakie ma to konsekwencje architektoniczne dla organizacji działających w 2026 roku.
Co faktycznie pokazują dane Sophos
Raport Sophos z 2025 roku objął badaniem 3,400 liderów IT i cyberbezpieczeństwa z 17 krajów — wszystkich z organizacji, które w poprzednich dwunastu miesiącach padły ofiarą ataku ransomware. Zapytani o techniczną przyczynę incydentu, respondenci wskazali rozkład zaskakująco spójny rok do roku:
- Wykorzystane podatności: 32% ataków — przyczyna numer jeden trzeci rok z rzędu.
- Skompromitowane poświadczenia: 23% — spadek z 29% w 2024 roku.
- Złośliwe wiadomości e-mail: 19%.
- Phishing: 18% — wzrost z 11% rok wcześniej.
Raporty branżowe potwierdzają ten wzorzec. W produkcji przemysłowej wykorzystane podatności odpowiadały za 32% incydentów — ponownie były przyczyną numer jeden. W handlu detalicznym wskaźnik ten wyniósł 30% i również był najwyższy. Praktycznie w każdym przekroju branżowym opublikowanym przez Sophos widać ten sam wniosek: co trzeci udany atak ransomware zaczyna się od podatności, dla której producent już wydał poprawkę, o której zespół bezpieczeństwa teoretycznie wie, a atakujący po prostu zdążył pierwszy.
To, co czyni to odkrycie strategicznie istotnym, to nie tylko jego spójność w czasie. To fakt, że pozostaje ono przyczyną numer jeden mimo trzech lat intensywnych inwestycji branży w narzędzia do zarządzania podatnościami, platformy do zarządzania powierzchnią ataku, usługi oceny ekspozycji oraz automatyzację łatania. Inwestycje były znaczące. Wynik pozostał niezmienny.
To powinno powiedzieć nam coś istotnego o architektonicznej naturze tego problemu.
Dlaczego łatanie zawodzi — nawet wtedy, gdy organizacje je stosują
Intuicyjną odpowiedzią na stwierdzenie „32% ataków zaczyna się od znanych podatności” jest „więc łatajmy szybciej”. Ta odpowiedź jest słuszna, ale operacyjnie niewystarczająca, a powody, dla których zawodzi, warto uczciwie przeanalizować.
Problem mianownika. Typowe średniej wielkości przedsiębiorstwo zarządza tysiącami odrębnych komponentów oprogramowania — systemami operacyjnymi, aplikacjami, firmware'em, obrazami kontenerów i konfiguracjami SaaS. Biuletyny producentów napływają nieustannie. Nawet zespół bezpieczeństwa działający na najwyższym poziomie nie jest w stanie załatać każdego komponentu w dniu publikacji CVE. Mianownik „rzeczy, które mogą zostać wykorzystane” jest strukturalnie większy niż przepustowość „rzeczy, które da się załatać w tym tygodniu”.
Problem krytyczności. Wiele poprawek wymaga przestoju, testów regresyjnych lub koordynacji z właścicielami biznesowymi, którzy dbają o ciągłość przychodów. Systemy najbardziej potrzebujące łatania — aplikacje dostępne z internetu, przestarzałe systemy produkcyjne, infrastruktura OT i systemy sterowania przemysłowego — to często te, w których biznesowy koszt przestoju jest najwyższy. W efekcie poprawki są planowane, odkładane, grupowane i w końcu zapominane. Atakujący o tym wiedzą; celują właśnie w te kategorie systemów, które najczęściej gromadzą dług utrzymaniowy.
Problem wykrywalności. Nie da się załatać czegoś, czego się nie widzi. Same dane Sophos pokazują, że nieznane luki bezpieczeństwa zostały wskazane przez ponad 40% ofiar jako czynnik przyczyniający się do ataku. W handlu detalicznym aż 46% incydentów wynikało z nieznanych luk. To nie są podatności, których organizacje świadomie nie załatały — to podatności, o których istnieniu organizacje nie wiedziały. Shadow IT, nieudokumentowane systemy, zapomniane obciążenia w chmurze, integracje z zewnętrznymi dostawcami z własnymi drzewami zależności: współczesna powierzchnia ataku przedsiębiorstwa jest naprawdę trudna do pełnego zinwentaryzowania, a luka między tym, co pokazuje inwentarz zasobów, a tym, do czego faktycznie może dotrzeć atakujący, jest miejscem, w którym żyje większość wykorzystywanych podatności.
Problem okna czasowego. Nawet gdy podatność jest znana, a poprawka dostępna, czas między ujawnieniem a aktywnym wykorzystywaniem drastycznie się skrócił. Cyberprzestępcy monitorują biuletyny producentów z taką samą sumiennością jak zespoły bezpieczeństwa, a gotowe do wykorzystania exploity dla CVE o wysokim wpływie pojawiają się dziś rutynowo w ciągu dni — czasem godzin — od ujawnienia. Okno na załatanie, które istniało pięć lat temu, nie istnieje już dla żadnej podatności na tyle poważnej, by przyciągnąć uwagę.
Żadnego z tych problemów nie rozwiąże zakup kolejnego narzędzia do zarządzania podatnościami. To strukturalne cechy funkcjonowania środowisk korporacyjnych, które wyjaśniają, dlaczego wskaźnik 32% nie zmienił się od trzech lat mimo ogromnych inwestycji obronnych.
AI jako rozproszenie uwagi
Warto powiedzieć to wprost: dane Sophos z 2025 roku stanowią też użyteczną korektę dominującej narracji o atakach napędzanych przez AI.
Branżowa dyskusja w 2025 roku była mocno zorientowana wokół kampanii phishingowych generowanych przez AI, inżynierii społecznej opartej na deepfake'ach oraz technik unikania detekcji wspieranych uczeniem maszynowym. Te zagrożenia są realne i zasługują na uwagę — zwłaszcza w świetle badań pokazujących, że zdecydowana większość wiadomości phishingowych zawiera dziś treści generowane przez AI.
Ale dane Sophos są użytecznym testem rzeczywistości co do tego, gdzie faktycznie powinny trafiać budżety i uwaga. Phishing wzmocniony przez AI przyczynia się do wzrostu liczby incydentów związanych z phishingiem (z 11% do 18% rok do roku). Nie wypiera jednak wykorzystywania podatności jako dominującego wektora wejścia. Ta jedna trzecia wszystkich ataków, które zaczynają się od niezałatanych systemów, nie maleje dlatego, że atakujący mają dostęp do lepszych modeli językowych. Można wręcz powiedzieć, że dyskusja o AI odwróciła uwagę od mało efektownego, strukturalnego problemu, który po cichu odpowiada za jedną trzecią wszystkich incydentów ransomware trzeci rok z rzędu.
Strategiczny wniosek dla liderów zarządzania ryzykiem w organizacjach jest taki, by z rezerwą podchodzić do każdej narracji dostawców sugerującej, że najważniejsza inwestycja obronna to zawsze ta najnowsza. Dane Sophos wskazują w innym kierunku: najważniejsza inwestycja obronna może być tą, która sprawia, że nudny, strukturalny problem zarządzania podatnościami staje się mniej nośny dla ogólnych wyników.
Co tak naprawdę oznacza „mniej nośny”
Oto architektoniczny wniosek, który wynika z przyjęcia założenia, że wykorzystywania podatności nie da się całkowicie wyeliminować: jeśli jedna trzecia wszystkich ataków nadal będzie zaczynać się od poprawki, której nie zastosowano na czas, to strategiczne pytanie przesuwa się z „jak łatać szybciej?” na „co się stanie, gdy tego nie zrobimy?”.
To pytanie, którego wciąż unika większość architektur bezpieczeństwa w przedsiębiorstwach.
W modelu obrony, w którym zakłada się, że prewencja działa, wykorzystanie podatności traktowane jest jako awaria, którą trzeba wyeliminować. W modelu obrony, który poważnie traktuje dane Sophos, wykorzystanie podatności traktowane jest jako powtarzający się stan, który reszta architektury musi wchłonąć bez wywoływania katastrofalnych skutków.
Przejście od eliminacji do wchłaniania to ta sama zmiana architektoniczna, jaką dojrzała inżynieria niezawodności przeszła dekadę temu. W systemach rozproszonych nie eliminuje się awarii. Projektuje się systemy, które w kontrolowany sposób degradują swoje działanie, gdy wystąpi awaria. Mierzy się średni czas przywrócenia działania (MTTR), a nie tylko średni czas między awariami (MTBF). Odporność traktuje się jako podstawową właściwość architektury, a nie jako wtórne sprzątanie po tym, jak zawiedzie prewencja.
Bezpieczeństwo korporacyjne, bardzo powoli, zaczyna stosować tę samą logikę. Dane Sophos z 2025 roku są, w naszej ocenie, najsilniejszym jak dotąd empirycznym dowodem na to, że ta transformacja jest już spóźniona.
Gdzie architektura backupu staje się punktem zwrotnym
Gdy podatność zostaje wykorzystana, a atakujący zdobywa przyczółek, dalszy łańcuch zdarzeń jest dobrze udokumentowany: ruch lateralny, eskalacja uprawnień, rekonesans cennych danych, eksfiltracja, a ostatecznie wdrożenie złośliwego ładunku. Współcześni cyberprzestępcy spędzają średnio od 12 do 22 dni wewnątrz skompromitowanego środowiska przed wdrożeniem ransomware — czas ten wykorzystują konkretnie na to, by zidentyfikować i zneutralizować mechanizmy kontrolne, które w innym wypadku umożliwiłyby odtworzenie danych.
Najważniejszym z tych mechanizmów kontrolnych jest środowisko kopii zapasowych.
Jeśli do infrastruktury kopii zapasowych można dotrzeć z systemu, od którego zaczęła się wykorzystana podatność, to podatność ta nie tylko umożliwiła atak — umożliwiła jego zwycięstwo. Wykorzystane CVE w aplikacji dostępnej z internetu nabiera znaczenia architektonicznego nie z powodu tego, co robi na hoście, na którym zostało wykorzystane, lecz z powodu tego, co umożliwia atakującemu zrobić z warstwą odtwarzania danych w ciągu kolejnych dwóch tygodni.
To jest punkt zwrotny architektury, na który wskazują dane Sophos. Wykorzystywanie podatności w dającej się przewidzieć przyszłości pozostanie przyczyną numer jeden. Zmienną decydującą o wyniku jest to, czy architektura odtwarzania danych jest osiągalna z systemów, w których te podatności nieuchronnie zostaną wykorzystane.
Konkretnie oznacza to:
Separacja tożsamości. Poświadczenia chroniące systemy produkcyjne nie mogą dawać dostępu do infrastruktury kopii zapasowych. Jeśli skompromitowane konto administratora domeny może dotrzeć do repozytorium kopii zapasowych, twoje kopie zapasowe są częścią powierzchni ataku, którą odsłoniła niezałatana podatność.
Zweryfikowana niezmienność. Polityki retencji oparte wyłącznie na oprogramowaniu może zmodyfikować każdy, kto dysponuje odpowiednimi uprawnieniami. Blokady retencji wymuszane sprzętowo lub na poziomie platformy mają temu przeciwdziałać — ale to luka między „skonfigurowane” a „faktycznie działające zgodnie z zamierzeniem” jest miejscem, w którym wiele korporacyjnych środowisk kopii zapasowych zawodzi w realnych incydentach. Niezależnie od tego, czy niezmienność jest wymuszana przez platformę backupową, warstwę pamięci masowej, czy przez utwardzone repozytorium, liczy się to, czy została ona przetestowana w warunkach zbliżonych do rzeczywistego ataku, a nie tylko włączona w panelu ustawień.
Izolacja sieciowa i izolacja zaufania. Środowisko kopii zapasowych znajdujące się w tej samej domenie sieciowej co systemy produkcyjne jest, z perspektywy modelowania zagrożeń, częścią środowiska produkcyjnego. To izolacja logiczna i fizyczna przekształca infrastrukturę kopii zapasowych z „kolejnego celu” w „warstwę, która przetrwa, gdy inne cele nie przetrwają”.
Ciągła walidacja odtwarzania. Kopia zapasowa, która nie została przetestowana w warunkach zbliżonych do konkretnego ataku, jest hipotezą, a nie mechanizmem kontrolnym. Dane z 2025 roku pokazują, że 53% przedsiębiorstw nie skorzystało z kopii zapasowych, aby odtworzyć dane po udanych incydentach ransomware, mimo że je posiadały. Najbardziej prawdopodobnym wyjaśnieniem jest to, że posiadane kopie zapasowe nigdy nie zostały zweryfikowane wobec scenariuszy, które faktycznie się zdarzyły. Zabezpieczenie się przed tym trybem awarii wymaga testowania, a nie tylko uruchamiania kopii zapasowych.
Strategiczne przeformułowanie
Dla liderów zarządzania ryzykiem w organizacjach utrzymująca się pozycja wykorzystywania podatności jako przyczyny numer jeden nie jest oskarżeniem pod adresem programów zarządzania podatnościami. To dowód na to, że zarządzanie podatnościami — nawet realizowane wzorowo — jest strukturalnie niezdolne do samodzielnego udźwignięcia całego ciężaru obrony przed ransomware.
Ustalenie Sophos, że 32% ataków zaczyna się od znanych podatności, należy czytać razem z ustaleniem, że 48% zaatakowanych przedsiębiorstw zapłaciło okup. Te liczby są ze sobą powiązane. Opisują postawę obronną, w której od prewencji oczekuje się nieomylności, ponieważ nie można polegać na warstwie odtwarzania danych. Strategiczną korektą nie jest uczynienie prewencji jeszcze bardziej nieomylną — jest nią uczynienie odtwarzania danych na tyle niezawodnym, by porażki prewencji nie decydowały o wynikach biznesowych.
Ta korekta ma charakter architektoniczny. Jest też już spóźniona. Organizacje, które zamkną tę lukę w ciągu najbliższych dwunastu miesięcy, to te, których warstwa odtwarzania danych będzie w stanie wchłonąć nieuniknioną jedną trzecią incydentów, które nadal będą zaczynać się od niezałatanego systemu. Organizacje, którym się to nie uda, będą rok po roku pojawiać się w tej samej linijce raportu Sophos.
Gdzie w tym wszystkim pojawia się BackupSec
W BackupSec nasza usługa opiera się na założeniu, że prewencja zawiedzie mniej więcej w takiej proporcji, jaką opisują dane Sophos — a warstwą decydującą o wyniku w takim wypadku jest infrastruktura odtwarzania danych, przechowująca czyste, odizolowane kopie danych krytycznych dla biznesu, oraz dyscyplina operacyjna, która dowodzi, że można je odtworzyć.
Każda z naszych trzech usług odpowiada na konkretną lukę, którą odsłania utrzymująca się pozycja wykorzystywania podatności jako przyczyny numer jeden:
- ZeroMON zapewnia ciągłą obserwowalność operacji backupowych, dryfu konfiguracji i sygnałów bezpieczeństwa — dzięki czemu, gdy podatność zostanie wykorzystana, a atakujący spędzi dwa tygodnie wewnątrz sieci, działania rekonesansowe wymierzone w środowisko kopii zapasowych są widoczne, a nie ciche.
- ZeroTAM zapewnia twojemu zespołowi dedykowanego doradcę ds. bezpieczeństwa kopii zapasowych do decyzji architektonicznych, planowania pojemności i strategii odtwarzania danych — adresując strukturalną lukę kompetencyjną, która decyduje o tym, czy warstwa kopii zapasowych jest osiągalna z systemów najbardziej narażonych na kompromitację przez niezałatane podatności.
- ZeroPEN jest, naszym zdaniem, najbardziej bezpośrednią odpowiedzią na ustalenie dotyczące 32%. Testujemy penetracyjnie płaszczyzny zarządzania backupem, kontrole dostępu, ustawienia niezmienności i stan izolacji dokładnie tak, jak zrobiłby to atakujący, który zaczął od wykorzystanej podatności — a następnie przeprowadzamy realne scenariusze odtwarzania danych, aby zweryfikować, że proces odtwarzania działa czysto, kompletnie i na czas. Efektem nie jest lista ustaleń do naprawienia. To udokumentowany dowód na to, że twoja warstwa kopii zapasowych przetrwa dokładnie te warunki, które opisują dane Sophos.
BackupSec wdrażany jest lokalnie (on-premise). Łączymy się z twoimi aplikacjami backupowymi poprzez dostęp API tylko do odczytu. Twoje dane backupowe, telemetria i szczegóły konfiguracji pozostają wewnątrz twojego środowiska.
Wskaźnik 32% nie jest przeznaczeniem. To opis strukturalnego stanu, który decyduje o wyniku tylko wtedy, gdy warstwa odtwarzania danych jest skonstruowana tak, by zawieść razem z warstwą prewencji. Organizacje, które rozdzielają te dwie warstwy, przestają być podatne na dominującą przyczynę ransomware w 2026 roku — nie dlatego, że łatają szybciej, ale dlatego, że zweryfikowały, iż łatanie nie jest elementem nośnym dla wyników ich procesu odtwarzania danych.
Porozmawiaj z BackupSec o testach penetracyjnych backupu i walidacji odtwarzania danych →
Niniejsza analiza opiera się na raporcie Sophos State of Ransomware 2025 oraz szerszym krajobrazie badań nad ransomware z 2025 roku. Przedstawiona tu interpretacja i ramy koncepcyjne są autorstwa BackupSec. Aby omówić, jak ta analiza odnosi się do twojego konkretnego środowiska, skontaktuj się z naszym zespołem →