Det tråkigaste resultatet i Sophos data är också det viktigaste
Varje år blir samtalet om ransomware högljuddare kring nya attacktekniker. AI-genererat nätfiske. Social manipulation med deepfakes. Adversarial machine learning. Living-off-the-land-binärer. Kompromettering av leveranskedjan via obskyra beroenden. Berättelsen antyder med säkerhet att försvararna står inför ett i grunden nytt hot som kräver i grunden nya verktyg.
Tre enkäter i rad kom Sophos rapport State of Ransomware tillbaka med ett mindre trendigt svar. 2025 års utgåva sammanfattar det på en rad:
"For the third year running, victims identified exploited vulnerabilities as the most common technical root cause of attack, used in 32% of incidents." (För tredje året i rad angav offren utnyttjade sårbarheter som den vanligaste tekniska grundorsaken till attacken, använd i 32 % av incidenterna.)
Ingen exotisk teknik. En brist i mjukvara som offret redan körde, använd som väg in. Sophos delar inte upp kategorin i zero-days och brister som redan hade en patch, så enkäten kan inte säga hur många av incidenterna som gick att patcha den dag attacken skedde. Det den säger är att offren under tre år inte angav någon annan enskild ingångspunkt oftare.
Sviten har sedan dess brutits. I 2026 års utgåva sjönk utnyttjade sårbarheter till 18 %, efter skadlig e-post (26 %), nätfiske (24 %) och komprometterade inloggningsuppgifter (23 %). Vi återkommer till den förskjutningen nedan, eftersom den skärper argumentet snarare än försvagar det: den ledande ingångspunkten ändrades inom ett enda år, och försvararens återställningsproblem ändrades inte med den.
På BackupSec läser vi de tre åren i topp som en strategisk signal. Glappet mellan kända säkerhetssvagheter och åtgärdade krymper inte i preventionens takt. Den här artikeln tittar på varför glappet består, varför prevention ensam inte kan stänga det, och vad det betyder för backuparkitekturen 2026.
Vad Sophos data faktiskt visar
Sophos rapport för 2025 bygger på en oberoende, leverantörsneutral enkät som beställdes av Sophos och genomfördes av en extern specialist mellan januari och mars 2025. Den omfattar 3 400 IT- och cybersäkerhetsansvariga i 17 länder, samtliga i organisationer med 100 till 5 000 anställda som hade drabbats av ransomware under de föregående tolv månaderna. Sophos namnger varje rapport efter det år enkäten genomfördes och noterar att "many of the attacks referenced occurred in 2024." (många av de attacker som det hänvisas till inträffade 2024.) Frågan om grundorsak besvarades av samtliga 3 400 respondenter:
- Utnyttjade sårbarheter: 32 % av attackerna, den främsta orsaken för tredje året i rad (36 % i 2023 års rapport, 32 % 2024).
- Komprometterade inloggningsuppgifter: 23 %, ned från 29 % 2024.
- Skadlig e-post: 19 %.
- Nätfiske: 18 %, upp från 11 % året innan.
Branschrapporterna som bygger på samma enkät för 2025 följer i stort sett mönstret. Inom tillverkning var utnyttjade sårbarheter den främsta orsaken med 32 %. Inom detaljhandeln låg de i topp för tredje året i rad med 30 %. Alla branscher passar inte in: inom hälso- och sjukvården toppade utnyttjade sårbarheter listan med 33 % "for the first time in three years." (för första gången på tre år.) Mönstret var brett, inte universellt.
En reservation om själva enkäten. Den registrerar vad offren tror var grundorsaken, och Sophos egna incidentdata ger en något annorlunda bild. Bland de fall inom incidenthantering och MDR från 2024 som ligger bakom 2025 Active Adversary Report låg komprometterade inloggningsuppgifter i topp (41 %) och utnyttjade sårbarheter på andra plats (22 %). Hur man än räknar ligger utnyttjande i eller nära toppen.
Det som gör enkätresultatet viktigt är dess uthållighet. Andelen sjönk från 36 % till 32 % och låg sedan kvar där, och under tre år gick ingenting om den.
Det borde säga oss något arkitektoniskt om problemet.
Varför patchning inte räcker, även när organisationer gör den
Den intuitiva reaktionen på "en tredjedel av attackerna börjar med en utnyttjad sårbarhet" är "patcha snabbare, då". Den reaktionen är korrekt men otillräcklig i driften, och skälen till att den inte räcker är värda att granska ärligt.
Nämnarproblemet. En medelstor organisation kan lätt köra tusentals olika mjukvarukomponenter i operativsystem, applikationer, firmware, containeravbildningar och SaaS-konfigurationer. Leverantörernas säkerhetsmeddelanden kommer i en jämn ström. Inte ens ett säkerhetsteam i toppform kan patcha varje komponent samma dag som en CVE publiceras. Nämnaren "saker som skulle kunna utnyttjas" är strukturellt större än kapaciteten för "saker som kan patchas den här veckan".
Kritikalitetsproblemet. Många patchar kräver driftstopp, regressionstester eller samordning med verksamhetsägare som värnar om intäkterna. De system som mest behöver patchas (externt exponerade applikationer, äldre produktionssystem, OT och industriella styrsystem) är ofta de där driftstopp kostar mest. Så patchar schemaläggs, skjuts upp, buntas ihop och glöms till slut bort. Den underhållsskulden är precis där en angripare som letar efter en väg in tittar först.
Upptäcktsproblemet. Du kan inte patcha det du inte ser. I Sophos enkät för 2025 var säkerhetsluckor som organisationen inte kände till en bidragande faktor i 40,1 % av attackerna, strax efter brist på expertis (40,2 %). Respondenterna angav i genomsnitt 2,7 bidragande faktorer, så det här är bidragande orsaker, inte enda orsaker. Inom detaljhandeln var okända säkerhetsluckor den oftast angivna operativa orsaken och nämndes av 46 % av offren. Skugg-IT, odokumenterade system, bortglömda arbetslaster i molnet och tredjepartsintegrationer med egna beroendeträd gör den moderna attackytan verkligt svår att kartlägga. Glappet mellan det din tillgångsinventering visar och det en angripare faktiskt kan nå är där många utnyttjade sårbarheter finns.
Fönsterproblemet. Även när en sårbarhet är känd och en patch finns har tiden till utnyttjande kollapsat. Mandiants analys av tid till utnyttjande mätte i genomsnitt 63 dagar 2018–2019, 32 dagar under 2021–2022 och fem dagar 2023. Av de brister som Mandiant följde och som utnyttjades efter att en patch fanns tillgänglig utnyttjades 12 % inom en dag och 29 % inom en vecka. Och 70 % av de utnyttjade sårbarheter som Mandiant följde 2023 användes som zero-days, innan någon patch alls fanns. Patchfönstret från för några år sedan är borta.
Inget av de här problemen löses genom att köpa ännu ett verktyg för sårbarhetshantering. De är strukturella drag i hur organisationer driver IT, och de hjälper till att förklara varför utnyttjade sårbarheter låg kvar i toppen av Sophos lista i tre år.
AI som distraktion
Sophos data för 2025 var också en nyttig motvikt till den dominerande berättelsen om AI-drivna attacker.
Branschsamtalet under 2025 kretsade i hög grad kring AI-genererade nätfiskekampanjer, social manipulation med deepfakes och undanmanövrer som möjliggjorts av maskininlärning. De hoten är verkliga och förtjänar uppmärksamhet. Nätfisket ökade mycket riktigt i 2025 års enkät, från 11 % till 18 % av attackerna. Sophos säger inte hur stor del av ökningen som kom från AI-skrivna lockbeten, och det kan inte heller vi. Det 2025 års data däremot visar är att nätfisket inte slog ut utnyttjade sårbarheter som ledande ingångspunkt.
2026 års utgåva för bilden vidare. E-postbaserade attacker tog ledningen: skadlig e-post (26 %) och nätfiske (24 %) stod tillsammans för hälften av alla incidenter, medan utnyttjade sårbarheter sjönk 14 procentenheter till 18 %. Sophos tillskriver inte heller den förskjutningen AI.
Den praktiska lärdomen för riskansvariga är att vara skeptisk mot varje berättelse, vår egen inräknad, som säger att den viktigaste försvarsinvesteringen är den ingångsväg som leder i år. Ledaren byttes ut inom tolv månader. Ett försvar som hänger på att en viss dörr stängs satsar på ett rörligt mål. Den mer hållbara investeringen är den som gör att en enskild ingångsväg bär mindre av utfallet.
Vad "bär mindre av utfallet" faktiskt betyder
Här är den arkitektoniska insikt som följer av att acceptera att utnyttjande inte kan elimineras helt. Om en betydande andel av attackerna kommer att fortsätta börja med en brist som du inte patchade i tid (ungefär en tredjedel av dem i tre Sophos-enkäter i rad, och fortfarande nästan var femte i den fjärde) så flyttas den strategiska frågan från "hur patchar vi snabbare?" till "vad händer när vi inte gör det?"
Det är den frågan som de flesta säkerhetsarkitekturer fortfarande undviker.
I en försvarsmodell där prevention antas fungera behandlas utnyttjande av sårbarheter som ett fel som måste elimineras. I en försvarsmodell som tar Sophos data på allvar behandlas det som ett återkommande tillstånd som resten av arkitekturen måste absorbera utan ett katastrofalt utfall.
Skiftet från eliminering till absorption är samma skifte som mogen tillförlitlighetsteknik gjorde för flera år sedan. Du eliminerar inte fel i distribuerade system. Du utformar system som degraderar kontrollerat när fel inträffar. Du mäter genomsnittlig tid till återställning, inte bara genomsnittlig tid mellan fel. Du behandlar resiliens som en primär arkitektonisk egenskap, inte som ett städjobb efter att prevention har fallerat.
Säkerhetsområdet börjar långsamt tillämpa samma logik. Sophos data är, enligt vår läsning, starka belägg för att den övergången är försenad.
Där backuparkitekturen blir vändpunkten
När en sårbarhet utnyttjas och en angripare etablerar ett fotfäste är kedjan som följer väldokumenterad: lateral förflyttning, rättighetseskalering, rekognosering, exfiltrering och till slut utplacering av payload. Den går också snabbt. I de fall från 2024 som ligger bakom Sophos 2025 Active Adversary Report var mediantiden som angriparen fanns i miljön (dwell time) 4 dagar i ransomware-fall inom incidenthantering, och 3 dagar i MDR-fall. Det är den tid en angripare har på sig att hitta och neutralisera de kontroller som annars skulle möjliggöra återställning, och den är kortare än de flesta granskningscykler.
Den viktigaste av de kontrollerna är backupmiljön.
Om din backupinfrastruktur går att nå från ett system som komprometterats genom en utnyttjad sårbarhet gjorde sårbarheten inte bara en attack möjlig. Den gjorde det möjligt för attacken att vinna. En utnyttjad CVE i en applikation som är exponerad mot internet spelar arkitektoniskt mindre roll för vad den gör på den värden än för vad den låter en angripare göra med ditt återställningslager under dagarna som följer.
Det är den vändpunkt som Sophos data antyder. Utnyttjade sårbarheter kommer att förbli en av de huvudsakliga vägarna in, oavsett vilken plats de har ett visst år. Den variabel som avgör utfallet är om din återställningsarkitektur går att nå från de system där sådana fotfästen etableras.
Konkret innebär det:
Identitetsseparation. De inloggningsuppgifter som skyddar produktionssystemen får inte ge åtkomst till backupinfrastrukturen. Om ett komprometterat domänadministratörskonto kan nå ditt backup-repository är dina backuper en del av den attackyta som den opatchade sårbarheten exponerade.
Validerad immutability. Mjukvarubaserade retention-policyer kan ändras av vem som helst med tillräcklig behörighet. Retention-lås som upprätthålls av hårdvaran eller plattformen är utformade för att stå emot det, men "konfigurerad" och "fungerar faktiskt som avsett" är olika påståenden, och bara ett test skiljer dem åt. Oavsett om din immutability upprätthålls av backupplattformen, lagringslagret eller ett härdat repository är den egenskap som spelar roll om den har testats under fientliga förhållanden, inte bara aktiverats i en inställningspanel.
Isolering av nätverk och förtroende. En backupmiljö som ligger i samma nätverksdomän som produktionssystemen är ur ett hotmodelleringsperspektiv en del av produktionen. Logisk och fysisk isolering är det som förvandlar backupinfrastrukturen från "ännu ett mål" till "lagret som överlever när andra mål inte gör det".
Regelbunden validering av återställning. I Sophos enkät för 2025 återställde bara 54 % av de organisationer vars data krypterades den från backuper, den lägsta andelen på sex år och den tredje nedgången i rad. Sophos frågar inte de övriga varför. Sophos rapporterar däremot att 29 % använde "other means" (andra metoder), vilket enligt Sophos sannolikt omfattar dekrypteringsnycklar som hade offentliggjorts (flera svar var tillåtna). Dess enda direkta datapunkt om fallerade backuper är snäv: av 151 organisationer som betalade mer än det ursprungliga kravet uppgav 38 % att deras backuper hade fallerat eller inte fungerade. 2026 års utgåva visar en återhämtning, med 66 % av de krypterade offren som återställde från backuper. Hur man än räknar är en backup som aldrig har återställts under realistiska förhållanden en hypotes, inte en kontroll.
Den strategiska omformuleringen
För riskansvariga är de tre åren med utnyttjande av sårbarheter i toppen av listan ingen dom över program för sårbarhetshantering. De är belägg för att sårbarhetshantering, hur väl den än genomförs, inte ensam kan bära hela tyngden av ransomware-försvaret.
Resultatet från 2025 att 32 % av attackerna började med en utnyttjad sårbarhet bör läsas tillsammans med en annan siffra från samma enkät: 49 % av de organisationer vars data krypterades betalade lösensumman, ned från 56 % året innan. I 2026 års utgåva var andelen 48 %, och Sophos anger genomsnittet över fyra år till ungefär 50 %. Enligt vår läsning hänger de siffrorna ihop. De beskriver ett läge där prevention förväntas vara ofelbar eftersom det inte går att lita på återställningslagret. Lösningen är inte att göra preventionen mer ofelbar. Den är att göra återställningen så pålitlig att fel i preventionen inte avgör affärsutfallet.
Den lösningen är arkitektonisk, och den är försenad. De organisationer som stänger glappet blir de vars återställningslager kan absorbera en incident oavsett vilken dörr den kom in genom. 2026 års data visar hur snabbt den mest använda dörren kan bytas ut.
Här kommer BackupSec in
På BackupSec utgår vi från att prevention ibland kommer att fallera, och att utfallet då beror på två saker: om det finns rena, isolerade kopior av dina data, och om någon har kontrollerat att backuplagret håller mot den attack som kommer.
Tre av våra tjänster motsvarar luckorna som beskrivs ovan:
- ZeroMON övervakar Veeam Backup & Replication. Den körs on-premises som en OVA, ansluter med ett konto med enbart läsbehörighet och skickar ingenting till BackupSec eller någon tredje part. Den följer jobbhälsa och konfigurationsändringar i Veeam (vem som ändrade vad och när), visar immutability-status så som Veeams egna repository-inställningar rapporterar den, visar resultaten från Veeams Security & Compliance Analyzer och innehåller en honeypot som registrerar skanningar och anslutningsförsök mot ZeroMON-appliancen som en tidig signal om rekognosering. Larm skickas via e-post och som notiser i appen. Eftersom den läser Veeams konfiguration verifierar den inte lås på objektnivå i själva lagringen.
- ZeroTAM ger ditt team en dedikerad rådgivare inom backupsäkerhet för arkitektur, planering av återställning efter ransomware och kapacitet, med prioriterad support i kris. Det är rådgivning, inte mjukvara.
- ZeroPEN är ett hotdrivet penetrationstest av Veeam Backup & Replication, samt Veeam ONE och Enterprise Manager. Det simulerar en ransomware-kill chain i åtta steg mappade mot MITRE ATT&CK, från initial åtkomst via kompromettering av Veeam-servern, åtkomst till repositories och neutralisering av backuper till bevis på förmåga att kryptera. Det är icke-destruktivt: "ZeroPEN never deletes real backups, performs real encryption, or stops production or backup services." (ZeroPEN raderar aldrig riktiga backuper, utför aldrig riktig kryptering och stoppar aldrig produktions- eller backuptjänster.) Du får revisionsfärdiga bevis på vad en angripare med ett fotfäste skulle kunna nå, och ett omtest för kritiska fynd.
Siffran 32 % var aldrig ödesbestämd, och 2026 års siffra på 18 % är ingen frist. Båda beskriver ytterdörren. Det som avgör utfallet är om återställningslagret fallerar tillsammans med preventionslagret. Att koppla isär de två gör dig inte immun mot utnyttjade sårbarheter. Det gör det betydligt mindre sannolikt att en missad patch avgör om du betalar.
Prata med BackupSec om penetrationstester av backupmiljön →
Den här analysen bygger på Sophos rapporter State of Ransomware 2025 och 2026, Sophos branschrapporter för 2025 om tillverkning, detaljhandel och hälso- och sjukvård, Sophos 2025 Active Adversary Report och Mandiants analys av tid till utnyttjande från 2023. Tolkningen och ramverket är BackupSecs egna. Vill du diskutera hur analysen gäller din miljö, kontakta vårt team →