Det mest tråkiga fyndet i Sophos 2025-rapport är också det viktigaste
Varje år blir samtalet om ransomware högljuddare kring nya attacktekniker. AI-genererad phishing. Deepfake-baserad social manipulation. Adversariell maskininlärning. Living-off-the-land-binärer. Kompromettering av leveranskedjan via obskyra beroenden. Berättelsen antyder gång på gång att försvarare står inför ett fundamentalt nytt hot som kräver fundamentalt nya verktyg.
Och varje år kommer Sophos rapport State of Ransomware, baserad på en leverantörsoberoende undersökning av tusentals offer, tillbaka med samma föga uppseendeväckande svar.
För tredje året i rad är utnyttjade sårbarheter den vanligaste tekniska grundorsaken till ransomware-incidenter — ansvariga för 32% av attackerna 2025.
Inte nya AI-tekniker. Inte zero-days. Inte exotiska attacker mot leveranskedjan. Patchar som fanns men inte applicerades. Konfigurationer som man visste var felaktiga. CVE:er med publika exploits och leverantörsrekommendationer som hamnade i en kö och aldrig kom ut.
Det här är fyndet som borde göra varje säkerhetsansvarig i näringslivet obekväm, eftersom det inte kan lösas genom att köpa ett nytt verktyg. Det är ett strukturellt problem med hur företagsmiljöer ackumulerar teknisk skuld — och 2025 års data tyder på att ingen mängd investering i avancerad detektering täpper till det.
På BackupSec tolkar vi det faktum att utnyttjande av sårbarheter fortsätter att vara grundorsak nummer ett som en strategisk signal: gapet mellan kända säkerhetsbrister och åtgärdade säkerhetsbrister är den enskilt mest tillförlitliga indikatorn på vilka organisationer som kommer att hamna i nästa års kolumn för ”betalade lösensumman”. Den här artikeln går igenom varför gapet består, varför det inte kan täppas till med enbart förebyggande åtgärder, och vilka arkitektoniska konsekvenser det får för organisationer som verkar 2026.
Vad Sophos-data faktiskt visar
Sophos rapport för 2025 omfattade en undersökning av 3,400 IT- och cybersäkerhetsansvariga i 17 länder, samtliga från organisationer som hade drabbats av ransomware under de föregående tolv månaderna. När de tillfrågades om den tekniska grundorsaken till sin incident var fördelningen anmärkningsvärt konsekvent år efter år:
- Utnyttjade sårbarheter: 32% av attackerna — den främsta orsaken tre år i rad.
- Komprometterade autentiseringsuppgifter: 23% — en nedgång från 29% år 2024.
- Skadlig e-post: 19%.
- Phishing: 18% — en uppgång från 11% föregående år.
De sektorsspecifika rapporterna förstärker mönstret. Inom tillverkningsindustrin stod utnyttjade sårbarheter för 32% av incidenterna — återigen den ledande orsaken. Inom detaljhandeln var siffran 30%, även där ledande. I praktiskt taget varje bransch Sophos publicerade data för kvarstår samma fynd: en tredjedel av alla lyckade ransomware-attacker börjar med en sårbarhet som leverantören redan har patchat, som säkerhetsteamet teoretiskt sett är medvetet om, och som angriparen helt enkelt hann utnyttja först.
Det som gör det här fyndet strategiskt viktigt är inte bara dess konsekvens. Det är det faktum att det har förblivit den främsta orsaken trots tre års intensiva branschinvesteringar i verktyg för sårbarhetshantering, plattformar för hantering av attackytan, tjänster för exponeringsbedömning och patchningsautomation. Investeringen har varit betydande. Resultatet har varit oförändrat.
Det borde säga oss något arkitektoniskt om problemet.
Varför patchning misslyckas — även när organisationer faktiskt patchar
Den intuitiva reaktionen på ”32% av attackerna börjar med kända sårbarheter” är ”patcha då snabbare”. Den reaktionen är korrekt men operativt otillräcklig, och det är värt att ärligt granska skälen till varför den inte räcker till.
Nämnarproblemet. Ett typiskt medelstort företag hanterar tusentals distinkta mjukvarukomponenter fördelade över operativsystem, applikationer, firmware, containeravbildningar och SaaS-konfigurationer. Leverantörsrekommendationer strömmar in kontinuerligt. Även ett säkerhetsteam som presterar på topp kan inte patcha varje komponent samma dag som en CVE publiceras. Nämnaren ”saker som skulle kunna utnyttjas” är strukturellt sett större än kapaciteten för ”saker som kan patchas den här veckan”.
Kritikalitetsproblemet. Många patchar kräver driftstopp, regressionstestning eller samordning med verksamhetsansvariga som vill skydda intäktskontinuiteten. De system som mest behöver patchas — internetexponerade applikationer, äldre produktionssystem, OT- och industriell kontrollinfrastruktur — är ofta de där kostnaden för driftstopp är som högst för verksamheten. Så patchar schemaläggs, skjuts upp, buntas ihop och glöms till slut bort. Angripare vet detta; de riktar specifikt in sig på de kategorier av system som mest sannolikt bär på underhållsskuld.
Upptäcktsproblemet. Man kan inte patcha det man inte ser. Sophos egen data visar att okända säkerhetsluckor angavs av över 40% av offren som bidragande faktorer. Inom detaljhandeln specifikt kunde 46% av incidenterna spåras till okända luckor. Det här är inte sårbarheter som organisationer valde att inte patcha — det är sårbarheter organisationer inte visste att de hade. Skugg-IT, odokumenterade system, bortglömda molnarbetslaster, tredjepartsintegrationer med egna beroendeträd: den moderna företagsmiljöns attackyta är genuint svår att kartlägga fullständigt, och gapet mellan vad tillgångsinventeringen visar och vad en angripare faktiskt kan nå är där de flesta utnyttjade sårbarheter finns.
Tidsfönsterproblemet. Även när en sårbarhet är känd och en patch finns tillgänglig har tiden mellan offentliggörande och aktivt utnyttjande komprimerats dramatiskt. Hotaktörer bevakar leverantörsrekommendationer med samma noggrannhet som säkerhetsteam gör, och beväpnade exploits för högpåverkande CVE:er dyker numera rutinmässigt upp inom dagar — ibland timmar — efter offentliggörandet. Det patchningsfönster som fanns för fem år sedan existerar inte längre för någon sårbarhet allvarlig nog att väcka uppmärksamhet.
Inget av dessa problem löses genom att köpa ännu ett verktyg för sårbarhetshantering. De är strukturella egenskaper hos hur företagsmiljöer fungerar, och de förklarar varför siffran 32% inte har rört sig på tre år trots enorma försvarsinvesteringar.
AI-distraktionen
Värt att ta upp direkt: 2025 års Sophos-data fungerar också som en nyttig korrigering av den dominerande berättelsen om AI-drivna attacker.
Branschsamtalet under 2025 var starkt inriktat på AI-genererade phishingkampanjer, deepfake-driven social manipulation och maskininlärningsbaserad undanmanövrering. Dessa hot är verkliga och förtjänar uppmärksamhet — särskilt med tanke på forskning som visar att en stor majoritet av phishing-e-postmeddelanden numera innehåller AI-genererat innehåll.
Men Sophos-data fungerar som en nyttig verklighetskontroll av var pengar och uppmärksamhet faktiskt bör allokeras. AI-förstärkt phishing bidrar till ökningen av phishing-relaterade incidenter (från 11% till 18% år över år). Den tränger dock inte undan utnyttjande av sårbarheter som den dominerande ingångsvektorn. Den tredjedel av alla attacker som börjar med opatchade system blir inte mindre för att angripare har tillgång till bättre språkmodeller. Om något har AI-samtalet fungerat som en distraktion från det föga glamorösa, strukturella problem som tyst har orsakat en tredjedel av alla ransomware-incidenter tre år i rad.
Den strategiska implikationen för riskansvariga i näringslivet är att vara skeptisk mot varje leverantörsberättelse som antyder att den viktigaste försvarsinvesteringen är den senaste. Sophos-data pekar i en annan riktning: den viktigaste försvarsinvesteringen kan vara den som gör det tråkiga, strukturella problemet med sårbarhetshantering mindre avgörande för det övergripande utfallet.
Vad ”mindre avgörande” faktiskt betyder
Här är den arkitektoniska insikten som följer av att acceptera att utnyttjande av sårbarheter inte kan elimineras helt: om en tredjedel av alla attacker fortsätter att börja med en patch som inte applicerades i tid, förskjuts den strategiska frågan från ”hur patchar vi snabbare?” till ”vad händer när vi inte gör det?”
Det här är frågan som de flesta företags säkerhetsarkitekturer fortfarande undviker.
I en försvarsmodell där förebyggande åtgärder antas fungera behandlas utnyttjande av sårbarheter som ett misslyckande som måste elimineras. I en försvarsmodell som tar Sophos-data på allvar behandlas utnyttjande av sårbarheter som ett återkommande tillstånd som resten av arkitekturen måste absorbera utan att det leder till katastrofala utfall.
Skiftet från eliminering till absorption är samma arkitektoniska skifte som mogen tillförlitlighetsteknik genomgick för ett decennium sedan. Man eliminerar inte fel i distribuerade system. Man designar system som degraderar kontrollerat när fel uppstår. Man mäter medeltid till återställning (MTTR), inte bara medeltid mellan fel (MTBF). Man behandlar motståndskraft som en primär arkitektonisk egenskap, inte som en sekundär uppstädning efter att det förebyggande skyddet har misslyckats.
Säkerhetsarbetet i näringslivet börjar, mycket långsamt, tillämpa samma logik. Sophos 2025-data är, enligt vår tolkning, det starkaste empiriska beviset hittills för att den här övergången är försenad.
Var backuparkitekturen blir den avgörande vändpunkten
När en sårbarhet utnyttjas och en angripare etablerar ett fotfäste är händelsekedjan som följer väldokumenterad: lateral rörelse, privilegieeskalering, rekognosering av värdefull data, exfiltrering och slutligen utplacering av nyttolast. Moderna hotaktörer tillbringar i genomsnitt 12 till 22 dagar inuti komprometterade miljöer innan de distribuerar ransomware — tid de specifikt använder för att identifiera och neutralisera de kontroller som annars skulle möjliggöra återställning.
Den enskilt viktigaste av dessa kontroller är backupmiljön.
Om din backupinfrastruktur kan nås från ett system som var startpunkten för en utnyttjad sårbarhet, då möjliggjorde sårbarheten inte bara en attack — den möjliggjorde att attacken vann. Den utnyttjade CVE:n på en internetexponerad applikation blir arkitektoniskt betydelsefull inte på grund av vad den gör på värden där den utnyttjades, utan på grund av vad den gör det möjligt för angriparen att göra mot ditt återställningslager under de följande två veckorna.
Det här är den arkitektoniska vändpunkt som Sophos-data antyder. Utnyttjande av sårbarheter kommer att fortsätta vara grundorsak nummer ett inom överskådlig framtid. Variabeln som avgör utfallet är huruvida din återställningsarkitektur går att nå från de system där dessa sårbarheter oundvikligen kommer att utnyttjas.
Konkret innebär det följande:
Identitetsseparation. De autentiseringsuppgifter som skyddar produktionssystem får inte ge åtkomst till backupinfrastrukturen. Om ett komprometterat domänadministratörskonto kan nå ditt backuparkiv, är dina backuper en del av den attackyta som den opatchade sårbarheten exponerade.
Validerad oföränderlighet. Mjukvarubaserade lagringspolicyer kan ändras av vem som helst med tillräckliga behörigheter. Hårdvaru- eller plattformsforcerade lagringslås är utformade för att motstå detta — men gapet mellan ”konfigurerat” och ”faktiskt fungerar som avsett” är där många företags backupmiljöer fallerar i verkliga incidenter. Oavsett om din oföränderlighet upprätthålls av backupplattformen, lagringslagret eller ett härdat arkiv, är den avgörande egenskapen huruvida den har testats under fientliga förhållanden, inte bara aktiverats i en inställningspanel.
Nätverks- och tillitsisolering. En backupmiljö som befinner sig i samma nätverksdomän som produktionssystemen är, ur ett hotmodelleringsperspektiv, en del av produktionen. Logisk och fysisk isolering är det som omvandlar backupinfrastrukturen från ”ännu ett mål” till ”lagret som överlever när andra mål inte gör det”.
Kontinuerlig återställningsvalidering. En backup som inte har testats mot de specifika förhållanden som råder vid en verklig attack är en hypotes, inte en kontroll. 2025 års data visar att 53% av företagen inte använde backuper för att återställa efter lyckade ransomware-incidenter, trots att de hade backuper. Den mest sannolika förklaringen är att de backuper de hade aldrig validerades mot de scenarier som faktiskt utspelade sig. Att arkitektera mot det här felläget kräver testning, inte bara körning.
Den strategiska omramningen
För riskansvariga i näringslivet är det faktum att utnyttjande av sårbarheter fortsätter att vara grundorsak nummer ett inte en anklagelse mot sårbarhetshanteringsprogram. Det är bevis på att sårbarhetshantering — hur väl den än genomförs — strukturellt sett inte klarar av att bära hela tyngden av ransomware-försvaret på egen hand.
Sophos fynd att 32% av attackerna börjar med kända sårbarheter bör läsas tillsammans med fyndet att 48% av de drabbade företagen betalade lösensumman. Dessa siffror hänger ihop. De beskriver en försvarsposition där det förebyggande skyddet förväntas vara ofelbart eftersom återställningslagret inte går att lita på. Den strategiska korrigeringen är inte att göra det förebyggande skyddet mer ofelbart — det är att göra återställningen tillräckligt tillförlitlig för att misslyckanden i det förebyggande skyddet inte ska avgöra verksamhetens utfall.
Den korrigeringen är arkitektonisk. Den är också försenad. De organisationer som täpper till gapet under de kommande tolv månaderna blir de vars återställningslager kan absorbera den oundvikliga tredjedel av incidenterna som fortsätter att börja med ett opatchat system. De organisationer som inte gör det kommer att fortsätta dyka upp, år efter år, på samma rad i Sophos rapport.
Var BackupSec kommer in i bilden
På BackupSec bygger vår tjänst på premissen att det förebyggande skyddet kommer att misslyckas i ungefär den utsträckning som Sophos-data beskriver — och att lagret som avgör utfallet när det sker är återställningsinfrastrukturen som håller rena, isolerade kopior av verksamhetskritisk data, samt den operativa disciplin som bevisar att de går att återställa.
Var och en av våra tre tjänster adresserar ett specifikt gap som exponeras av att utnyttjande av sårbarheter fortsätter att vara grundorsak nummer ett:
- ZeroMON levererar kontinuerlig observerbarhet över backupdrift, konfigurationsavvikelser och säkerhetssignaler — så att när en sårbarhet utnyttjas och en angripare tillbringar två veckor inne i nätverket är rekognoseringsaktiviteten riktad mot din backupmiljö synlig, inte tyst.
- ZeroTAM ger ditt team en dedikerad rådgivare inom backupsäkerhet för arkitekturbeslut, kapacitetsplanering och återställningsstrategi — vilket adresserar det strukturella kompetensgap som avgör om ditt backuplager går att nå från de system som mest sannolikt komprometteras genom opatchade sårbarheter.
- ZeroPEN är, enligt vår uppfattning, det mest direkt relevanta svaret på 32%-fyndet. Vi penetrationstestar dina backuphanteringsplaner, åtkomstkontroller, oföränderlighetsinställningar och isoleringsposition på samma sätt som en angripare som startade med en utnyttjad sårbarhet skulle göra — och kör därefter verkliga återställningsscenarier för att validera att återställningen fungerar rent, fullständigt och i tid. Resultatet är inte en lista med fynd att åtgärda. Det är dokumenterat bevis på att ditt backuplager överlever de specifika förhållanden som Sophos-data beskriver.
BackupSec driftsätts on-premise. Vi ansluter till dina backupapplikationer via skrivskyddad API-åtkomst. Din backupdata, telemetri och konfigurationsdetaljer förblir inuti din egen miljö.
Siffran 32% är inte ett öde. Den är en beskrivning av ett strukturellt tillstånd som bara avgör utfallet när återställningslagret är strukturerat för att fallera tillsammans med det förebyggande skyddet. Organisationer som frikopplar de två slutar vara sårbara för den dominerande grundorsaken till ransomware 2026 — inte för att de patchade snabbare, utan för att de validerade att patchning inte är avgörande för deras återställningsutfall.
Prata med BackupSec om penetrationstestning av backup och återställningsvalidering →
Den här analysen bygger på Sophos rapport State of Ransomware 2025 och det bredare forskningslandskapet kring ransomware under 2025. Tolkningen och ramverket som presenteras här är BackupSecs egna. För att diskutera hur den här analysen tillämpas på din specifika miljö, kontakta vårt team →