Vad Sophos fick rätt om ransomware 2025, och backupfrågan som ingen ställer

En tyst siffra som borde få larmklockorna att ringa

Varje år publicerar Sophos sin rapport State of Ransomware, som bygger på vad företaget beskriver som en oberoende, leverantörsneutral enkät bland IT- och cybersäkerhetsansvariga vars organisationer drabbats av ransomware. 2025 års utgåva, publicerad i juni 2025, omfattar 3 400 respondenter i 17 länder från organisationer med 100 till 5 000 anställda. I december 2025 publicerade Sophos ett separat urval, The State of Ransomware in Enterprise 2025, med de 1 733 respondenterna från företag med 1 000 till 5 000 anställda. Sophos namnger varje rapport efter det år enkäten genomfördes (januari till mars 2025), så många av de attacker som beskrivs inträffade under 2024.

Huvudresultaten är uppmuntrande: andelen attacker där data krypteras sjunker, återställningen går snabbare och färre offer betalar lösensumman.

Men företagsrapporten innehåller en siffra som borde stå på varje CISO:s whiteboard:

Bland företag vars data krypterades sjönk andelen som använde backuper för att återställa den från 73 % 2024 till 53 % 2025. Sophos kallar det den lägsta nivån på fyra år.

Läs det en gång till. Samma år som försvararna blev bättre på att stoppa ransomware före kryptering var de företag som ändå drabbades av kryptering mätbart mindre benägna att återställa från sina egna backuper.

Det här är ingen oviktig fotnot. Vi menar att det är det strategiskt viktigaste resultatet i Sophos data. Huvudsiffrorna berättar en historia; återställningsdata berättar en annan. Den här artikeln går igenom vad vi anser att datan avslöjar om motståndskraft mot ransomware, och varför backup confidence, tilltron till att backuperna faktiskt håller, har blivit det mått som betyder mest.

Ytberättelsen: försvaret vinner

Vi börjar med de goda nyheterna, för det finns faktiskt några.

Bland samtliga 3 400 respondenter i huvudrapporten för 2025:

• Data krypterades i 50 % av attackerna, ned från 70 % 2024 och den lägsta andelen under studiens sex år.
• Den genomsnittliga kostnaden (medelvärdet) för återställning, exklusive eventuell lösensumma, sjönk från 2,73 miljoner USD till 1,53 miljoner USD.
• Medianbetalningen av lösensumma sjönk med 50 %, från 2 miljoner USD 2024 till 1 miljon USD 2025.
• 53 % av offren hade återhämtat sig helt inom en vecka, upp från 35 % 2024.
• 49 % av offren med krypterad data betalade lösensumman, ned från 56 % 2024.

Bland företagen, enligt företagsrapporten:

• Data krypterades i 49 % av attackerna, ned från 66 % 2024.
• Andelen attacker som stoppades före kryptering mer än fördubblades på två år, från 22 % 2023 till 47 % 2025.

Sophos tolkar nedgången i kryptering som ett tecken på att organisationer "are more capable of stopping attacks before the encrypted payload is deployed" (har blivit bättre på att stoppa attacker innan den krypterande nyttolasten sätts in), och den snabbare återställningen som ett möjligt tecken på investeringar i "cyber incident preparation and recovery readiness" (beredskap för cyberincidenter och förmåga att återställa). Lästa var för sig säger siffrorna att branschen har vänt skutan.

Sedan kommer du till återställningsdata.

Motsägelsen som avslöjar allt

Här är datapunkten som komplicerar den optimistiska berättelsen.

Bland företag vars data krypterades använde 53 % backuper för att återställa den, ned från 73 % året innan. Under samma period betalade 48 % lösensumman för att få tillbaka data, ned från 55 % (företagsrapporten). Båda vägarna krympte. Nästan en tredjedel (30 %) av företagen med krypterad data uppgav att de använde andra metoder, som enligt Sophos kan omfatta "restoration from shadow copies, utilizing endpoint protection rollback features or recovering data from unaffected systems" (återställning från skuggkopior, användning av rollback-funktioner i endpoint-skyddet eller återställning av data från opåverkade system).

År 2024 låg backuper 18 procentenheter före betalning av lösensumma (73 % mot 55 %). År 2025 var försprånget 5 procentenheter (53 % mot 48 %). Färre företag betalar, vilket är goda nyheter. Men det återställningslager som skulle göra betalning onödig bär mindre av lasten, inte mer.

Sophos egen sammanfattning är rak: "Collectively, these findings point to stronger resistance to demands together with weaknesses and lack of backup resilience." (Sammantaget pekar resultaten på ett starkare motstånd mot kraven, i kombination med svagheter och bristande resiliens i backuperna.)

Svagheterna och den bristande backupresiliensen: det är den delen vi bryr oss om. Försvararna blir bättre på att stoppa attacker tidigt. Men när en attack ändå lyckas och data krypteras används de backuper som skulle vara skyddsnätet allt mer sällan.

Det är inte en historia om att ransomware blir svårare. Det är en historia om att backuparkitekturen blir blottlagd.

Varför fallerar backuperna när det gäller?

Sophos rapporter säger inte varför backupanvändningen sjönk. Enkäten registrerar hur data återställdes, inte varför backuper användes eller inte användes. De tre mönstren nedan är vår tolkning, med stöd i Sophos data där sådan finns.

Mönster 1: Backuperna komprometteras tillsammans med produktionen

Angripare går efter backuper med avsikt. I Sophos studie från 2024 om komprometterade backuper uppgav 94 % av de organisationer som drabbats av ransomware att angriparna försökte kompromettera deras backuper, och 57 % av de försöken lyckades. Organisationer vars backuper komprometterades var nästan dubbelt så benägna att betala lösensumman (67 % mot 36 %), och deras mediankostnad för återställning var åtta gånger högre (3 miljoner USD mot 375 000 USD).

Datastöld ökar trycket. I företagsrapporten fick 30 % av de företag som fick data krypterad också data stulen (15 % av alla drabbade företag). En ren återställning gör ingenting åt data som redan har lämnat huset.

Om ditt backupsystem delar domän, identitetsleverantör eller uppsättning inloggningsuppgifter med din produktionsmiljö är det inte ett separat återställningslager. Det är nästa mål i samma kill chain.

Mönster 2: "Lyckad backup" är inte detsamma som "lyckad återställning"

Företagsdatan innehåller en direkt signal. Av de 72 företag som betalade mer än det ursprungliga lösenkravet angav 42 % det här skälet: "Our backups failed or were malfunctioning" (Våra backuper fallerade eller fungerade inte) (företagsrapporten). Gruppen är liten, men det är drabbade företag som med enkla ord säger att deras backuper inte höll.

Den mänskliga kostnaden är också tydlig. Varje företag som fick data krypterad rapporterade konsekvenser för sitt IT-/cybersäkerhetsteam: 40 % rapporterade ökad press från ledningen, 39 % ökad oro eller stress inför framtida attacker, och i 27 % av fallen byttes teamets ledning ut.

En jobblogg som säger "success" berättar att backupen kördes. Den berättar inte att återställningen kommer att fungera med den hastighet eller fullständighet som verksamheten behöver.

Det är det felläge som "0" i regeln 3-2-1-1-0 tar hand om. Veeams guide för best practices inom säkerhet definierar det som "0 errors" (noll fel) vid automatisk verifiering av återställningsbarheten för varje backup med SureBackup. Ett slutfört jobb är inte en verifierad återställning, och verifieringen räknas bara om den testar de återställningsscenarier du skulle ställas inför vid en verklig incident.

Mönster 3: Det organisatoriska lagret är den svagaste länken

För första gången 2025 frågade Sophos offren om de organisatoriska faktorer som gjorde dem sårbara. Bland samtliga 3 400 respondenter i huvudrapporten:

• 40,2 % angav brist på expertis: att de saknade färdigheterna eller kunskapen för att upptäcka och stoppa attacken i tid.
• 40,1 % angav okända säkerhetsluckor: svagheter i försvaret som de inte kände till.
• 39,4 % angav brist på personal eller kapacitet.
• Respondenterna angav i genomsnitt 2,7 bidragande faktorer.

Företagsurvalet är nästan identiskt: en okänd säkerhetslucka (40 %), brist på personal eller kapacitet (39,2 %) och brist på expertis (38,9 %) toppar listan, med i genomsnitt tre angivna faktorer.

Rakt uttryckt: säkerhetsteamen har för lite personal och kompetens, och har blinda fläckar som de inte kan se. Vi skulle hävda att backupinfrastrukturen ligger precis där alla tre svagheterna möts. När de som driver den också sköter incidenthantering, patchning och identitet får den sällan arkitektonisk uppmärksamhet förrän en incident kräver att den levererar.

Vad de branschspecifika rapporterna tillför

Sophos publicerade också branschurval av 2025 års enkät.

Inom tillverkning och produktion (332 respondenter) sjönk andelen med kryptering till 40 %, den lägsta på fem år, och medianbetalningen av lösensumma var 1 miljon USD, ned från 1,2 miljoner USD. 47 % rapporterade ökad oro eller stress inför framtida attacker i IT-/cybersäkerhetsteamet. Backupanvändningen låg stilla på 58 %.

Inom detaljhandeln (361 respondenter i 16 länder) sjönk andelen med kryptering till 48 %, också den lägsta på fem år. En okänd säkerhetslucka var den vanligaste operativa faktorn och angavs av 46 % av offren. 58 % av detaljhandlarna med krypterad data betalade lösensumman, vilket Sophos kallar "the second highest ransom payment rate in five years" (den näst högsta andelen som betalat lösensumma på fem år). Det mediana lösenkravet fördubblades från 1 miljon USD till 2 miljoner USD, och backupanvändningen sjönk till 62 %, den lägsta på fyra år.

Branschbilden är blandad: backupanvändningen i detaljhandeln sjönk, i tillverkningen låg den stilla. Det branschrapporterna har gemensamt med företagsdatan är att preventionen förbättras snabbare än backupbaserad återställning. Andelen med kryptering sjönk i båda branscherna, medan backupanvändningen sjönk eller stod still. Det glappet mellan mognad i prevention och mognad i återställning är, enligt vår uppfattning, där betalningarna av lösensummor finns.

Vad Sophos-rapporten rekommenderar (och var vi skulle lägga mer tyngd)

Huvudrapporten och företagsrapporten avslutas med samma fyra rekommendationer:

• Prevention: eliminera de tekniska och operativa grundorsaker som rapporten identifierar.
• Skydd: stark grundläggande säkerhet, med välskyddade endpoints (inklusive servrar), inklusive dedikerat skydd mot ransomware som kan stoppa och rulla tillbaka skadlig kryptering.
• Detektion och respons: detektion och respons dygnet runt, via en leverantör av managed detection and response (MDR) om du saknar resurser eller kompetens internt.
• Planering och förberedelse: en incidenthanteringsplan som du är väl förtrogen med att sätta i verket, plus backuper av god kvalitet och regelbunden övning i att återställa data från dem.

Allt stämmer. Backuperna finns med, i en mening under planering och förberedelse. Med tanke på företagens backupsiffror skulle vi ge återställningen mer tyngd än så:

Själva återställningsarkitekturen måste moderniseras, inte bara försvaras.

En backupmiljö som utformats för att återställa efter hårdvarufel och oavsiktliga raderingar är inte densamma som en som utformats för att återställa efter en motståndare som redan är inne i nätverket och går efter backuperna först. Det första är ett redundansproblem. Det andra är ett arkitekturproblem. Att öva återställningar är nödvändigt, men det hjälper inte om angriparen kan nå de backuper du övade med.

Glappet i backup confidence: vad du ska mäta i stället

Om du tar med dig en enda operativ förändring från Sophos data för 2025, låt det vara den här: sluta behandla andelen lyckade backuper som ditt mått på återställning, och börja mäta backup confidence, alltså hur säker du kan vara på att backuperna faktiskt går att återställa.

Andelen lyckade backuper är det mått som din backupmjukvara ger dig gratis. Det besvarar en fråga: slutfördes jobbet? Ensamt är det ingen indikator på återställningsförmåga. Vi tror att glappet mellan det som dashboarden visar och det som en incident levererar är en del av det som nedgången med 20 procentenheter i backupbaserad återställning speglar.

Backup confidence ställer andra frågor:

• Kan vi återställa tier one-system från immutable lagring inom vår fastställda RTO, i dag, under ett pågående angrepp?
• Fungerar våra återställningsrutiner när identitetsleverantörerna i produktionen är komprometterade?
• Har vi validerat att våra retention-policyer inte kan ändras av någon inloggningsuppgift på produktionsnivå?
• Övervakar vi telemetri från backupsystemet efter angriparbeteende, inte bara efter slutförda jobb?
• När incidentteamet får frågan "ska vi betala?", vad är det tekniska underlaget för svaret?

De här frågorna har svar. Många företag vet ännu inte vilka deras svar är.

Vad vi tar med oss från Sophos data för 2025

När vi läser rapporterna i sin helhet ser vi följande historia.

Organisationer har blivit märkbart bättre på att stoppa ransomware innan den krypterar data. Det är en verklig förbättring, och den förtjänar erkännande.

Men återställningslagret, löftet om att organisationer aldrig skulle behöva betala eftersom de kunde återställa från rena backuper, bär mindre av lasten. I företagsdatan är nedgången med 20 procentenheter i backupbaserad återställning röken. Vi tror att det arkitektoniska glappet under den är elden.

För företag i reglerade sektorer, med komplexa hybridmiljöer eller som helt enkelt inte vill finansiera nästa ransomware-kampanj är det här samtalet att ta nu. Frågan är inte "har vi backuper?". Den är: klarar vår backuparkitektur en verklig motståndare, och kan vi bevisa det innan vi behöver det?

Så arbetar BackupSec med glappet i backup confidence

På BackupSec utgår vi från att backupmiljöer måste vara observerbara och testade under fientliga förhållanden, inte bara fungera under normala. Tre av våra tjänster motsvarar felen ovan:

• ZeroMON övervakar Veeam Backup & Replication: jobbhälsa, konfigurationsdrift med ett Forensic & Audit-spår över vem som ändrade vad och när, en Security Analyzer-checklista, rapporter och en honeypot på övervakningsappliancen. Den visar immutability-status så som Veeams egna repository-inställningar rapporterar den; den läser Veeams konfiguration och verifierar inte lås på objektnivå i lagringen. Larm skickas via e-post och som notiser i appen. ZeroMON driftsätts on-premises som en OVA och ansluter med ett konto med enbart läsbehörighet, och inget av det den samlar in skickas till BackupSec eller någon tredje part.
• ZeroTAM ger ditt team en dedikerad rådgivare inom backupsäkerhet för arkitekturgranskningar, planering av återställning efter ransomware, kapacitetsplanering och prioriterad support i kris. Det är en rådgivningstjänst, inte mjukvara, och den svarar direkt mot resultaten ovan om brist på expertis och brist på kapacitet.
• ZeroPEN är ett hotdrivet penetrationstest av Veeam Backup & Replication, Veeam ONE och Enterprise Manager. Det simulerar en ransomware-kill chain mappad mot MITRE ATT&CK i åtta steg: initial åtkomst, upptäckt och inventering, missbruk av inloggningsuppgifter, kompromettering av Veeam-servern, åtkomst till repositories, neutralisering av backuper, simulerad dataexfiltrering och bevis på förmåga att kryptera. Det är icke-destruktivt: ZeroPEN "never deletes real backups, performs real encryption, or stops production or backup services" (raderar aldrig riktiga backuper, utför aldrig riktig kryptering och stoppar aldrig produktions- eller backuptjänster). Uppdraget omfattar också verifiering av återställningsintegritet och immutability, och avslutas med ett revisionsfärdigt rapportpaket och ett omtest för kritiska fynd.

Vi ersätter inte din backupplattform. Vi hjälper dig att se och testa den som du redan kör.

De 53 % i Sophos företagsdata är inget öde. Enligt vår uppfattning speglar siffran backuparkitekturer som byggdes för ett annat hot.

Prata med BackupSec om din backupsäkerhet →

Den här analysen bygger på Sophos rapport State of Ransomware 2025, rapporten State of Ransomware in Enterprise 2025 och Sophos branschrapporter för 2025. Tolkningen är BackupSecs egen. Sophos har sedan dess publicerat The State of Ransomware 2026; den här artikeln behandlar data för 2025. Vill du diskutera hur resultaten gäller din miljö, kontakta vårt team →