Det mest underskattade talet i 2025 års Sophos-rapport
När Sophos publicerade sin rapport State of Ransomware för 2025 fokuserade merparten av bevakningen på de mest uppmärksammade siffrorna: sjunkande krypteringsgrad, förbättrade återställningstider och minskande lösensummor. Dessa siffror är verkliga och de spelar roll. Men gömt i ett avsnitt av rapporten som undersöktes för första gången i år – de organisatoriska faktorer som lämnade företag exponerade – finns en enskild statistik som enligt vår uppfattning omdefinierar hur riskansvariga i företag bör tänka kring ransomware i grunden.
Bland de 3 400 undersökta organisationerna identifierade offren i genomsnitt 2,7 olika bidragande faktorer bakom de attacker som lyckades mot dem.
Inte en. Inte ens två. Nästan tre oberoende svagheter som verkade samtidigt i varje lyckad incident.
Detta är ingen fotnot. Det är det matematiska beviset på att eran av ransomware-försvar baserat på enstaka kontroller är över – och att backuparkitektur i det tysta har blivit den viktigaste kompenserande kontrollen i den moderna företagsstacken.
På BackupSec anser vi att talet 2,7 är det mest strategiskt användbara i hela rapporten. Den här artikeln går igenom vad det egentligen innebär, varför det gör strategier som enbart bygger på prevention matematiskt ohållbara, och vad det innebär för organisationer som fortfarande behandlar backup som en eftertanke till ”riktig” säkerhet.
Vad 2,7 faktiskt representerar
I 2025 års Sophos-rapport ombads respondenterna för första gången att identifiera de organisatoriska faktorer som bidrog till att de drabbades – inte bara den tekniska ingångspunkten, utan de bredare operativa förhållanden som gjorde dem sårbara. Resultaten målar upp en bild som ingen sammanfattning fångar helt:
- 40,2 % angav bristande expertis – otillräcklig kompetens eller kunskap för att upptäcka och stoppa attacken i tid.
- 40,1 % angav okända säkerhetsluckor – svagheter i skyddet som de inte var medvetna om förrän incidenten inträffade.
- Betydande andelar angav bristande kapacitet, brist på skyddsprodukter, luckor i processdisciplin och ofullständig insyn i den egna attackytan.
- Tekniska grundorsaker låg därtill: utnyttjade sårbarheter (32 %), komprometterade autentiseringsuppgifter (23 %), skadlig e-post (19 %) och nätfiske (18 %).
När respondenterna summerade de faktorer de trodde bidrog till sin incident blev genomsnittet 2,7. Sophos kallar detta ”en komplex situation med många bidragande delar”. Vi skulle kalla det något mer precist: strukturell oundviklighet.
Om varje lyckad ransomware-incident under 2025 involverade nästan tre oberoende brister, då fungerar den underförstådda försvarsmodell som de flesta företag fortfarande arbetar utifrån – ”hitta luckan, täpp till luckan” – mot en angripare som bara behöver hitta en av de tre. Samtidigt måste försvararen hantera alla samtidigt.
Det är inte ett säkerhetsproblem. Det är ett asymmetriproblem.
Asymmetrin: En dörr mot sju
Betrakta matematiken ur angriparens perspektiv.
En modern ransomware-aktör – oavsett om det är en statsanknuten grupp, en RaaS-anknuten partner eller en fristående aktör – behöver inte identifiera och utnyttja varje svaghet i din miljö. De behöver bara hitta en enda framkomlig väg: ett opatchat system, en uppsättning komprometterade autentiseringsuppgifter, en felkonfigurerad molnlagringsbucket, en användare mottaglig för nätfiske, en administrativ lucka.
Betrakta nu matematiken ur försvararens perspektiv. Du ansvarar för:
- Sårbarhetshantering över tusentals tillgångar, i cykler som ingen patchningstakt tillförlitligt kan hålla jämna steg med.
- Identitetsstyrning över mänskliga användare, tjänstekonton, federerade identiteter och alltmer autonoma agenter.
- E-post- och samarbetssäkerhet, den vanligaste ingångspunkten och den med störst mänsklig variation.
- Slutpunktsskydd mot skadlig kod som utvecklas snabbare än signaturbaserad detektering kan anpassa sig till.
- Nätverkssegmentering utformad efter hotmodeller som ständigt förändras.
- Konfiguration av moln och SaaS över dussintals eller hundratals tjänster, var och en med sin egen behörighetsmodell.
- Backup- och återställningsinfrastruktur som måste fungera under förhållanden som resten av din stack redan har misslyckats med att förhindra.
Angriparen spelar en enda ruta på denna spelplan. Försvararen spelar alla sju, varje dag, med begränsade resurser.
Talet 2,7 från Sophos är den empiriska bekräftelsen på att denna asymmetri inte längre är hypotetisk. I de verkliga incidenter som inträffade under 2025 misslyckades försvarare i nästan tre rutor samtidigt – inte för att de var vårdslösa, utan för att modellen är strukturellt uppbyggd mot fullständig prevention.
Varför ”åtgärda bara grundorsaken” är dålig matematik
Ett vanligt svar vid incidentanalys är att identifiera ”grundorsaken” och åtgärda den. Regelverk för regelefterlevnad förstärker detta synsätt. Det gör även de flesta genomgångar efter en incident. Sophos data för 2025 visar varför detta angreppssätt, även om det känns intuitivt tillfredsställande, i allt högre grad saknar koppling till hur moderna incidenter faktiskt utspelar sig.
Om den genomsnittliga lyckade incidenten involverar 2,7 bidragande faktorer, är identifieringen av en enda grundorsak per definition en ofullständig analys. Den visar vilken dörr angriparen gick igenom – inte varför byggnaden hade så många olåsta dörrar att en av dem alltid skulle vara tillgänglig.
Detta har operativ betydelse eftersom de resurser som läggs på att fixera vid den specifika ingångsvektorn i fjolårets incident är resurser som inte läggs på de arkitektoniska luckor som avgör nästa års incident. Sophos data antyder att organisationer som arbetar utifrån en enda grundorsak systematiskt underinvesterar i de lagrade kontroller som avgör om någon ingångsvektor leder till ett katastrofalt utfall.
Den strategiska omformuleringen är denna: i varje tillräckligt komplex företagsmiljö kommer angripare förr eller senare att hitta en framkomlig väg. Frågan som avgör om den vägen leder till en betald lösensumma är inte ”stängde vi varje dörr?” utan ”överlever vår arkitektur när en av dem öppnas?”
Den kompenserande kontroll som de flesta företag underskattar
Här är den arkitektoniska insikt som talet 2,7 gör omöjlig att undvika: när prevention kommer att misslyckas med matematisk regelbundenhet, förskjuts de lager som avgör affärsutfallet längre ner i kedjan.
Det är här backuparkitektur går från ”infrastrukturhygien” till ”primär strategisk kontroll”.
I en hotmodell med en enda vektor är backup en reservlösning. I en hotmodell med 2,7 faktorer är backup den kompenserande kontrollen för varje preventionsmiss som oundvikligen kommer att inträffa. Sophos data för 2025 visar detta i klara ordalag:
- 48 % av företagsorganisationerna betalade lösensumman trots förbättringar inom prevention.
- Användningen av backup för att återställa krypterad data föll till en fyraårslägsta nivå på 53 %, ner från 73 % föregående år.
- Den genomsnittliga återställningskostnaden för företag nådde 1,83 miljoner USD för organisationer med 1 000–5 000 anställda – och den siffran exkluderar eventuell betald lösensumma.
När man läser dessa siffror mot bakgrund av de 2,7 faktorerna blir bilden sammanhängande: organisationer blir bättre på att förhindra vissa attacker, men förbättrar inte den återställningsarkitektur som avgör utfallet när prevention misslyckas. Resultatet är en växande klyfta mellan mognad inom prevention och mognad inom återställning – och det är precis i den klyftan lösensummorna betalas.
För riskansvariga i företag innebär detta en specifik omfördelning av arkitektoniskt fokus. Investeringar i detektering, identitet och patchning förblir alla nödvändiga. Men ingen av dem eliminerar de 2,7. De förskjuter bara vilka tre dörrar som är öppna en given dag. Den kontroll som avgör om en öppnad dörr blir en existentiell incident är den som de flesta organisationer har underlåtit att modernisera: arkitekturen som håller rena, oföränderliga, validerade kopior av verksamhetskritisk data och kan återställa dem under fientliga förhållanden.
Så här ser 2,7 ut i en verklig incident
För att göra detta konkret, betrakta hur de 2,7 typiskt sätts samman i en verklig företagsmiljö. De specifika faktorerna varierar, men mönstret är konsekvent:
Faktor ett är vanligtvis en ingångsvektor: en opatchad kantenhet, en komprometterad autentiseringsuppgift som återanvänds mellan system, eller ett lyckat nätfiskemejl. Det är den brist som rapporten efter incidenten kommer att kalla ”grundorsaken”.
Faktor två är vanligtvis en brist i behörigheter eller insyn som gjorde att det initiala fotfästet kunde expandera: alltför omfattande stående behörigheter, luckor i detektering av sidledes rörelse, eller otillräcklig segmentering mellan affärsenheter.
Faktor tre är nästan alltid en brist i återställningslagret som förvandlade ett avgränsat intrång till en betald lösensumma: backupuppgifter som är åtkomliga från produktionsmiljön, lagringspolicyer som kan ändras av komprometterade administratörer, eller återställningsrutiner som aldrig har testats mot det faktiska scenario som teamet nu står inför.
De två första faktorerna får uppmärksamheten vid incidenthantering. Den tredje avgör det ekonomiska utfallet. Och den tredje är den som de flesta företag är sämst rustade att utvärdera ärligt innan en incident tvingar fram frågan.
Det är den operativa verklighet som talet 2,7 pekar på. Faktorerna är inte abstrakta – de är den specifika sekvens av brister som förvandlar en hanterbar säkerhetshändelse till en kris på styrelsenivå.
Vad detta innebär för riskallokering
Om man accepterar fyndet om 2,7 som arkitektoniskt betydelsefullt – och det underliggande Sophos-datasetet med 3 400 organisationer gör det svårt att avfärda – följer flera slutsatser för allokering.
Diversifiera investeringarna över hela bristkedjan, inte inom ett enda lager. Att satsa dubbelt på e-postsäkerhet medan återställningsarkitekturen lämnas oförändrad flyttar bara på vilken faktor som misslyckas först; det minskar inte det totala antalet brister. Företagens säkerhetsbudgetar som allokerar oproportionerligt mycket till prevention samtidigt som backup behandlas som en standardpost är utformade mot en hotmodell som inte längre återspeglar hur incidenter faktiskt utspelar sig.
Utvärdera arkitekturer mot scenarier med flera faktorer, inte tester av enskilda vektorer. Ett penetrationstest som bekräftar att ett försvar håller är inte bevis för att din miljö överlever en verklig attack. Sophos data visar att verkliga attacker utnyttjar nästan tre svagheter samtidigt. Tabletop-övningar och red team-uppdrag bör utformas för att uttryckligen testa detta sammansatta tillstånd.
Mät återställningstillförlitlighet, inte om backupen slutförts. Andelen på 53 % backupanvändning i Sophos företagsdata är inte en berättelse om att backuper generellt misslyckas. Det är en berättelse om att backuparkitekturer utformade för brister med en enda faktor (en server kraschade, en användare raderade en fil) förväntas prestera under förhållanden med flera faktorer (angriparen har funnits i nätverket i två veckor och har rört vid allt). Det är olika problem, och de flesta backupmiljöer i företag byggdes för det förstnämnda.
Behandla återställningslagret som den kompenserande kontroll det har blivit. När prevention kommer att misslyckas med matematisk regelbundenhet är det lager som avgör utfallet det som håller rena, isolerade, oföränderliga kopior av data och kan återställa dem snabbt under fientliga förhållanden. Det lagret måste arkitekteras, styras och testas med samma noggrannhet som den produktionsmiljö det skyddar.
Var BackupSec kommer in i bilden
På BackupSec bygger hela vårt angreppssätt på en enda arkitektonisk grundpremiss: prevention kommer förr eller senare att misslyckas, och när det sker är det återställningslagret som avgör om misslyckandet går att återhämta sig från eller blir existentiellt.
Fyndet om 2,7 i Sophos data är på många sätt den empiriska motiveringen för den premissen. De tre tjänster vi levererar – observerbarhet, rådgivning och pentestad återställningsbevisning – är utformade för att besvara de frågor som talet 2,7 tvingar riskansvariga i företag att ta ställning till:
- ZeroMON besvarar frågan ”Vad gör vår backupmiljö faktiskt just nu?” – genom kontinuerlig övervakning av backupoperationer och säkerhetssignaler, forensiska granskningsspår i realtid, detektering av konfigurationsavvikelser och Veeam-redo insyn i hela backupbeståndet.
- ZeroTAM besvarar frågan ”Har vi kompetensen att tolka det vi ser?” – genom en dedikerad backupsäkerhetsrådgivare som känner din miljö, dina återställningsprioriteringar och din arkitektur, tillgänglig för proaktiv vägledning och krishantering utan friktionen från roterande supportärenden.
- ZeroPEN besvarar frågan ”Kan vi faktiskt återställa när preventionslagret fallerar?” – genom penetrationstestning av backup som riktar in sig på dina hanteringsplan, åtkomstkontroller och grad av oföränderlighet, följt av verkliga återställningsscenarier som validerar ren, fullständig och tidsenlig återställning mot ditt angivna RTO och RPO.
BackupSec driftsätts on-premise, ansluter via skrivskyddad API-åtkomst och flyttar aldrig backupdata eller telemetri utanför din miljö. Vi ersätter inte din backupplattform – vi gör återställningslagret som plattformen stöder observerbart, rådgivningsbart och bevisbart under de förhållanden med flera faktorer som Sophos data beskriver.
Om din organisation läser Sophos rapport för 2025 och drar slutsatsen att svaret är att stänga varje dörr, säger data något annat: alla dörrar kommer inte att förbli stängda, och den arkitektur som avgör vad som händer när en av dem öppnas är det samtal som är värt att föra under 2026.
Prata med BackupSec om validering av återställning →
Denna analys bygger på Sophos rapport State of Ransomware 2025 och det bredare forskningslandskapet kring ransomware under 2025. Tolkningen och ramverket som presenteras här är BackupSecs egna. Om du vill diskutera hur denna analys gäller för din specifika miljö, ta kontakt med vårt team →