2,7-problemet: varför offer för ransomware oftast har mer än en svaghet

Den mest underskattade siffran i Sophos rapport för 2025

När Sophos publicerade sin rapport State of Ransomware 2025 i juni 2025 var huvudresultaten uppmuntrande. Data krypterades i 50 % av attackerna, ned från 70 % 2024. 53 % av offren hade återhämtat sig helt inom en vecka, upp från 35 %. Medianbetalningen av lösensumma halverades, från 2 miljoner USD till 1 miljon USD. De siffrorna är verkliga, och de spelar roll. Men rapporten undersökte också något för första gången: de organisatoriska faktorer som gjorde företagen sårbara. En statistikuppgift från det avsnittet ger, enligt vår uppfattning, riskansvariga i större organisationer en ny ram för hur de bör tänka kring ransomware.

Enkäten omfattade 3 400 IT- och cybersäkerhetsansvariga i 17 länder, samtliga i organisationer med 100 till 5 000 anställda som hade drabbats av ransomware under de föregående 12 månaderna. På frågan varför deras organisation drabbades angav respondenterna i genomsnitt 2,7 bidragande faktorer.

Inte en. Inte ens två. I genomsnitt angav offren nästan tre operativa förhållanden bakom en enda attack.

Det här är ingen fotnot. Det är starka belägg för att ett ransomware-försvar som vilar på en enda kontroll inte stämmer med hur offren själva beskriver sina incidenter, och för att backuparkitekturen i det tysta har blivit en av de viktigaste kompenserande kontrollerna i företagets säkerhetsstack.

På BackupSec anser vi att siffran 2,7 är den strategiskt mest användbara siffran i rapporten. Den här artikeln reder ut vad den mäter, varför den gör strategier som bara bygger på prevention svåra att försvara, och vad den innebär för organisationer som fortfarande behandlar backup som en eftertanke till "riktig" säkerhet.

Vad 2,7 faktiskt står för

Frågan som Sophos ställde var "Why do you think your organization fell victim to the ransomware attack?" (Varför tror du att din organisation drabbades av ransomware-attacken?) Respondenterna kunde välja fler än ett av sju operativa skäl, och i genomsnitt valde de 2,7. Hela listan, med andelen av de 3 400 respondenterna som angav respektive skäl:

• Brist på expertis: 40,2 %. Att inte ha färdigheterna eller kunskapen för att upptäcka och stoppa attacken i tid.
• Okänd säkerhetslucka: 40,1 %. En svaghet i försvaret som organisationen inte kände till.
• Brist på personal/kapacitet: 39,4 %. Inte tillräckligt många cybersäkerhetsexperter som övervakade systemen när attacken skedde.
• Brist på skydd: 39,0 %. Att inte ha de cybersäkerhetsprodukter och tjänster som behövdes.
• Känd säkerhetslucka som inte hade åtgärdats: 38,2 %.
• Skydd av dålig kvalitet som inte kunde stoppa attacken: 37,1 %.
• Mänskligt misstag: 34,2 %.

Två saker följer av hur frågan ställdes. 2,7 är ett genomsnitt, så vissa offer angav en faktor och andra angav flera. Och siffran registrerar vad respondenterna tror bidrog, inte resultatet av en forensisk utredning. Faktorerna överlappar dessutom. Sophos grupperar dem i skyddsproblem (63 % av respondenterna), resursproblem (63 %) och säkerhetsluckor (65 %), och finner "no single stand-out source." (ingen enskild källa som sticker ut.)

Sophos frågade separat om den tekniska ingångspunkten. Utnyttjade sårbarheter var grundorsaken i 32 % av attackerna, komprometterade inloggningsuppgifter i 23 %, skadlig e-post i 19 % och nätfiske i 18 %. De andelarna beskriver hur angriparen tog sig in. 2,7 beskriver förhållandena runt omkring.

Sophos egen sammanfattning är att "victims are typically facing multiple operational challenges." (offren står i regel inför flera operativa utmaningar.) Vi läser det som ett strukturellt problem, inte som en serie otur.

Om offren i regel anger nästan tre bidragande förhållanden står den försvarsmodell som de flesta företag fortfarande arbetar efter, "hitta luckan, täpp till luckan", inför en angripare som bara behöver att ett av dem går att utnyttja. Samtidigt måste försvararen hantera alla på en gång.

Det är inte ett säkerhetsproblem. Det är ett asymmetriproblem.

Asymmetrin: en dörr mot sju

Se på matematiken ur angriparens perspektiv.

En modern ransomware-operatör (en statsanknuten grupp, en RaaS-affiliate eller en fristående grupp) behöver inte identifiera och utnyttja varje svaghet i din miljö. Den behöver en enda framkomlig väg: ett opatchat system, en uppsättning komprometterade inloggningsuppgifter, en felkonfigurerad bucket i molnet, en användare som går på nätfiske, en administrativ lucka.

Se nu på matematiken ur försvararens perspektiv. Du ansvarar för:

1. Sårbarhetshantering över tusentals tillgångar, i cykler som ingen patchrytm på ett pålitligt sätt ligger före.
2. Identitetsstyrning över mänskliga användare, tjänstekonton, federerade identiteter och allt fler autonoma agenter.
3. E-post- och samarbetssäkerhet, en viktig ingångspunkt och den med störst mänsklig variation. I Sophos enkät var skadlig e-post och nätfiske tillsammans grundorsaken till 37 % av attackerna.
4. Endpoint-skydd mot payloads som utvecklas snabbare än signaturbaserad detektion hinner anpassa sig.
5. Nätverkssegmentering utformad mot hotmodeller som ständigt förändras.
6. Konfiguration av moln och SaaS över dussintals eller hundratals tjänster, var och en med sin egen behörighetsmodell.
7. Backup- och återställningsinfrastruktur som måste fungera under förhållanden som resten av din stack redan har misslyckats med att förhindra.

Angriparen spelar på en ruta på det här brädet. Försvararen spelar på alla sju, varje dag, med begränsade resurser.

De här sju områdena är vår indelning, inte Sophos sju svarsalternativ. Sophos lista beskriver organisatoriska förhållanden som expertis, kapacitet och okända luckor, och de går tvärs igenom varje område ovan. Siffran 2,7 ger ändå asymmetrin stöd i data. Offren beskrev sina attacker (enkäten frågade om de föregående 12 månaderna, så många av dem inträffade 2024) som resultatet av i genomsnitt nästan tre bidragande förhållanden. Det är inte ett tecken på vårdslöshet. Det är ett tecken på att fullständig prevention är strukturellt svår att uppnå.

Varför "åtgärda bara grundorsaken" är dålig matematik

En vanlig reaktion på en incidentanalys är att identifiera "grundorsaken" och åtgärda den. De flesta granskningar efter incidenter förstärker det tänkandet. Sophos data för 2025 visar varför det synsättet, hur intuitivt tillfredsställande det än är, missar hur offren själva beskriver vad som gick fel.

Om offren i genomsnitt anger 2,7 bidragande faktorer är en granskning som stannar vid en enda grundorsak sannolikt ofullständig. Den berättar vilken dörr angriparen gick in genom. Den berättar inte varför byggnaden hade så många olåsta dörrar att en av dem alltid skulle vara tillgänglig.

Det här spelar roll i driften. Resurser som läggs på den specifika ingångsvägen i förra årets incident är resurser som inte läggs på de arkitektoniska luckor som kommer att avgöra nästa års. Vår läsning av Sophos data är att organisationer som arbetar utifrån en enda grundorsak sannolikt underinvesterar i de lagerbaserade kontroller som avgör om någon ingångsväg leder till ett katastrofalt utfall.

Den strategiska omformuleringen är följande: i varje tillräckligt komplex företagsmiljö kommer angripare förr eller senare att hitta en framkomlig väg. Frågan som avgör om den vägen leder till en betald lösensumma är inte "täppte vi till varje dörr?" utan "överlever vår arkitektur när en av dem öppnas?"

Den kompenserande kontroll som de flesta företag underskattar

Här är den arkitektoniska insikt som siffran 2,7 pekar mot: när prevention fallerar med viss regelbundenhet flyttas de lager som avgör affärsutfallet längre ned i kedjan.

Det är här backuparkitekturen går från "infrastrukturhygien" till "primär strategisk kontroll".

I en hotmodell med en enda ingångsväg är backup en reservlösning. I en hotmodell med flera faktorer är backup den kompenserande kontrollen för de preventionsmisslyckanden som kommer att inträffa. Sophos första rapport State of Ransomware in Enterprise 2025, byggd på de 1 733 respondenterna från organisationer med 1 000 till 5 000 anställda, visar vad som står på spel:

• 48 % av de drabbade företag vars data krypterades betalade lösensumman för att få tillbaka den, ned från 55 % 2024.
• Företagens användning av backuper för att återställa krypterad data sjönk till 53 %, den lägsta nivån på fyra år, ned från 73 % 2024.
• Organisationer med 1 000–5 000 anställda lade i genomsnitt 1,83 miljoner USD på återställning, exklusive eventuell betald lösensumma, enligt huvudrapporten för 2025.

Sophos läser betalnings- och backupsiffrorna tillsammans som att de pekar "to stronger resistance to demands together with weaknesses and lack of backup resilience." (mot ett starkare motstånd mot kraven, i kombination med svagheter och bristande resiliens i backuperna.) Sophos noterar också att 30 % av företagen med krypterad data använde andra metoder för att återställa den, så nedgången i backupanvändning är inte bara en historia om backuper som fallerar. Ändå är bilden sammanhängande. Färre attacker når fram till kryptering, men när de gör det bar backuperna återställningen i bara ungefär hälften av fallen bland företagen. Glappet mellan mognad i prevention och mognad i återställning är precis där betalningarna av lösensummor finns.

För riskansvariga i större organisationer innebär det en specifik omfördelning av den arkitektoniska uppmärksamheten. Investeringar i detektion, identitet och patchning är fortfarande nödvändiga. Men ingen av dem eliminerar 2,7. De flyttar bara på vilka tre dörrar som står öppna en given dag. Den kontroll som avgör om en öppnad dörr blir en existentiell incident är den som de flesta organisationer har moderniserat för lite: arkitekturen som håller rena, immutable, validerade kopior av affärskritisk data och kan återställa dem under fientliga förhållanden.

Hur 2,7 kan se ut i en incident

Sophos delar inte upp 2,7 i ett förlopp, så det som följer är vår illustration av hur bidragande faktorer kan samverka i en företagsmiljö, inte enkätdata:

Faktor ett är oftast en ingångsväg: en opatchad edge-enhet, en komprometterad inloggningsuppgift som återanvänts i flera system, eller ett nätfiskemejl som lyckades. Det här är det fel som rapporten efter incidenten kommer att kalla "grundorsaken".

Faktor två är i regel ett fel i behörigheter eller insyn som gjorde att det första fotfästet kunde utvidgas: för omfattande stående behörigheter, luckor i detektionen av lateral förflyttning eller otillräcklig segmentering mellan affärsenheter.

Faktor tre är den vi fokuserar på: ett fel i återställningslagret som förvandlar ett begränsat intrång till en betald lösensumma. Inloggningsuppgifter till backupen som går att nå från produktionen, retention-policyer som kan ändras av komprometterade administratörer, eller återställningsrutiner som aldrig har testats mot det scenario teamet nu står inför. Sophos har en snäv datapunkt här: i huvudrapporten för 2025 uppgav 38 % av de 151 organisationer som betalade mer än det ursprungliga lösenkravet att deras backuper hade fallerat eller inte fungerade.

De två första faktorerna får uppmärksamheten i incidenthanteringen. Den tredje avgör ofta det ekonomiska utfallet, och den är svår att bedöma ärligt innan en incident tvingar fram frågan.

Det är den operativa verklighet som siffran 2,7 pekar på. Faktorerna är inte abstrakta: tillsammans är de den serie av fel som förvandlar en hanterbar säkerhetshändelse till en kris på styrelsenivå.

Vad det här betyder för riskfördelningen

Om du accepterar att resultatet 2,7 är arkitektoniskt meningsfullt (och en enkät med 3 400 drabbade organisationer gör det svårt att avfärda) följer flera slutsatser om fördelning.

Sprid investeringarna över hela felkedjan, inte inom ett enda lager. Att satsa dubbelt på e-postsäkerhet medan återställningsarkitekturen lämnas oförändrad flyttar på vilken faktor som fallerar först; det minskar inte det totala antalet fel. Säkerhetsbudgetar som lägger oproportionerligt mycket på prevention medan backup behandlas som en standardpost arbetar mot en hotmodell som inte speglar hur offren beskriver sina incidenter.

Utvärdera arkitekturer mot scenarier med flera faktorer, inte mot tester av en enda ingångsväg. Ett test som bekräftar att ett försvar håller är inget bevis för att din miljö överlever en verklig attack. I Sophos enkät angav offren i genomsnitt nästan tre bidragande faktorer. Tabletop-övningar och red team-uppdrag bör utformas för att uttryckligen testa det sammansatta tillståndet.

Mät tilltron till återställningen, inte slutförda backuper. Sophos säger inte varför företagens backupanvändning sjönk till 53 %, och en del av nedgången speglar andra återställningsmetoder. Vår läsning är att många backuparkitekturer utformades för fel med en enda faktor (en server dog, en användare raderade en fil) och nu förväntas prestera under förhållanden med flera faktorer (angriparen har varit i nätverket i två veckor och har rört allt). Det är olika problem. Sophos egen rekommendation är att "make quality backups and regularly practice restoring data from them." (ta backuper av god kvalitet och regelbundet öva på att återställa data från dem.)

Behandla återställningslagret som den kompenserande kontroll det har blivit. När prevention ibland kommer att fallera är det lager som avgör utfallet det som håller rena, isolerade, immutable kopior av data och kan återställa dem snabbt under fientliga förhållanden. Det lagret måste utformas, styras och testas med samma stringens som den produktionsmiljö det skyddar.

Här kommer BackupSec in

På BackupSec bygger vårt arbetssätt på en premiss: prevention kommer förr eller senare att fallera någonstans, och när det händer avgör återställningslagret om felet går att återhämta sig från eller blir existentiellt.

Tre av våra tjänster motsvarar de frågor som siffran 2,7 väcker:

• ZeroMON svarar på "Vad gör vår backupmiljö egentligen just nu?" Den övervakar Veeam Backup & Replication: jobbhälsa, konfigurationsändringar med vem, vad och när (Forensic & Audit), en Security Analyzer-checklista, rapporter och en honeypot på övervakningsappliancen. Den visar immutability-status så som Veeams egna repository-inställningar rapporterar den; den läser Veeams konfiguration och verifierar inte lås på objektnivå i lagringen. Larm skickas via e-post och som notiser i appen. ZeroMON driftsätts on-premises som en OVA, ansluter med ett konto med enbart läsbehörighet och skickar ingenting till BackupSec eller någon tredje part.
• ZeroTAM svarar på "Har vi expertisen att tolka det vi ser?" Det är frågan bakom den vanligaste faktorn i Sophos lista. En dedikerad rådgivare inom backupsäkerhet täcker arkitektur, planering av återställning efter ransomware och kapacitet, med prioriterad support under en kris. Det är rådgivning, inte mjukvara.
• ZeroPEN svarar på "Hur långt skulle en angripare komma mot våra backuper?" Det är ett hotdrivet penetrationstest av Veeam Backup & Replication, Veeam ONE och Enterprise Manager som simulerar en ransomware-kill chain i åtta steg mappade mot MITRE ATT&CK, från initial åtkomst via neutralisering av backuper till bevis på förmåga att kryptera. Det är icke-destruktivt: det "never deletes real backups, performs real encryption, or stops production or backup services." (raderar aldrig riktiga backuper, utför aldrig riktig kryptering och stoppar aldrig produktions- eller backuptjänster.) Fynden levereras med revisionsfärdiga bevis, och kritiska fynd testas om.

Vi ersätter inte din backupplattform. Vi hjälper till att göra det återställningslager som den stöder observerbart, förstått och testat mot de förhållanden med flera faktorer som Sophos data beskriver.

Om din organisation läser Sophos rapport för 2025 och drar slutsatsen att svaret är att stänga varje dörr, säger datan något annat: alla dörrar kommer inte att förbli stängda, och den arkitektur som avgör vad som händer när en av dem öppnas är det samtal som är värt att föra 2026.

Prata med BackupSec →

Den här analysen bygger på Sophos rapporter State of Ransomware 2025 och State of Ransomware in Enterprise 2025. Tolkningen och ramverket är BackupSecs egna. Vill du diskutera hur analysen gäller din miljö, kontakta vårt team →