一个本该拉响警报却无人注意的数字
Sophos 每年都会发布 State of Ransomware（勒索软件现状）报告，据其描述，报告基于一项独立的、不偏向任何厂商的调查，受访者是所在组织遭受过勒索软件攻击的 IT 与网络安全负责人。2025 年版于 2025 年 6 月发布，覆盖 17 个国家的 3,400 名受访者，来自员工人数在 100 至 5,000 人之间的组织。2025 年 12 月，Sophos 又单独发布了一份细分报告 The State of Ransomware in Enterprise 2025（2025 年企业勒索软件现状），覆盖其中来自员工人数在 1,000 至 5,000 人之间企业的 1,733 名受访者。Sophos 以调查年份（2025 年 1 月至 3 月）为每份报告命名，因此报告中描述的许多攻击发生在 2024 年。
核心发现令人鼓舞：数据加密率在下降，恢复速度在加快，支付赎金的受害者也在减少。
但企业报告中有一个数字，理应出现在每一位 CISO 的白板上：
在数据被加密的企业中，使用备份恢复数据的比例从 2024 年的 73% 下降到 2025 年的 53%。Sophos 称这是四年来的最低点。
请再读一遍。在防御方更善于在加密发生前阻止勒索软件的这一年里，那些确实遭到加密的企业，依靠自己的备份完成恢复的可能性却明显降低了。
这不是一个无关紧要的脚注。我们认为，这是 Sophos 数据中最具战略意义的发现。核心数字讲的是一个故事，恢复数据讲的却是另一个故事。本文将逐一说明我们认为这些数据揭示了勒索软件韧性的哪些问题，以及为什么备份信心已经成为最重要的指标。
表面叙事：防御正在获胜
我们先从好消息说起，因为确实有一些好消息。
在2025 年主报告的全部 3,400 名受访者中：
- 数据加密比例降至攻击的 50%，低于 2024 年的 70%，是该研究六年来的最低比例。
- 不含赎金的平均（均值）恢复成本从 273 万美元降至 153 万美元。
- 赎金支付额中位数下降了 50%，从 2024 年的 200 万美元降至 2025 年的 100 万美元。
- 53% 的受害者在一周内完全恢复，高于 2024 年的 35%。
- 数据被加密的受害者中有 49% 支付了赎金，低于 2024 年的 56%。
在企业中，根据企业报告：
- 数据加密比例降至攻击的 49%，低于 2024 年的 66%。
- 在加密前被阻止的攻击比例在两年内增加了一倍多，从 2023 年的 22% 升至 2025 年的 47%。
Sophos 将加密比例的下降解读为组织 “are more capable of stopping attacks before the encrypted payload is deployed”（更有能力在加密载荷部署之前阻止攻击），并将恢复速度的加快解读为可能反映了在 “cyber incident preparation and recovery readiness”（网络事件准备和恢复就绪）方面的投入。单独来看，这些数字表明业界已经迎来了转折。
然后，你看到了恢复数据。
揭示一切的矛盾
下面这个数据点让乐观的叙事变得复杂起来。
在数据被加密的企业中，53% 使用备份恢复了数据，而一年前为 73%。同一时期，为取回数据而支付赎金的比例为 48%，低于 55%（企业报告）。两条途径都在收缩。数据被加密的企业中，近三分之一（30%）表示使用了其他方式，Sophos 认为其中可能包括 “restoration from shadow copies, utilizing endpoint protection rollback features or recovering data from unaffected systems”（从卷影副本恢复、利用终端防护的回滚功能，或从未受影响的系统中恢复数据）。
2024 年，备份比支付赎金高出 18 个百分点（73% 对 55%）。2025 年，这一领先优势只剩 5 个百分点（53% 对 48%）。支付赎金的企业减少了，这是好消息。但本应让支付赎金变得没有必要的恢复层，承担的分量不是更多，而是更少了。
Sophos 自己的总结很直接：“Collectively, these findings point to stronger resistance to demands together with weaknesses and lack of backup resilience.”（综合来看，这些发现表明，对勒索要求的抵制更加坚决，同时备份存在弱点、缺乏韧性。）
备份存在弱点、缺乏韧性：这正是我们关心的部分。防御方越来越善于及早阻止攻击。但当一次攻击确实得手、数据被加密时，本应作为安全网的备份却被使用得越来越少。
这不是一个关于勒索软件变得更难对付的故事，而是一个关于备份架构暴露出问题的故事。
为什么备份在关键时刻失灵？
Sophos 的报告并没有说明备份使用率为何下降。调查记录的是数据是如何恢复的，而不是为什么使用或没有使用备份。以下三种模式是我们的解读，在有 Sophos 数据的地方，以其数据为佐证。
模式 1：备份与生产环境一同被攻陷
攻击者会刻意针对备份。在 Sophos 2024 年关于备份遭破坏的研究中，遭受勒索软件攻击的组织里有 94% 表示攻击者曾试图破坏其备份，而这些尝试中有 57% 得手。备份遭到破坏的组织支付赎金的可能性几乎是其他组织的两倍（67% 对 36%），其恢复成本中位数则高出八倍（300 万美元对 37.5 万美元）。
数据窃取进一步加大了压力。在企业报告中，数据被加密的企业有 30% 同时遭遇了数据窃取（占全部企业受害者的 15%）。对于已经流出的数据，一次干净的恢复无能为力。
如果你的备份系统与生产环境共用一个域、一个身份提供商或一套凭据，它就不是一个独立的恢复层，而是同一条攻击链上的下一个目标。
模式 2：“备份成功”不等于“恢复成功”
企业数据中有一个直接的信号。在支付金额超过初始赎金要求的 72 家企业中，42% 给出了这样的原因：“Our backups failed or were malfunctioning”（我们的备份失败或出现故障）（企业报告）。这个群体规模不大，但这是企业受害者在直白地说：他们的备份没有顶住。
人员方面的代价也很明显。每一家数据被加密的企业都报告了对其 IT/网络安全团队造成的影响：40% 报告来自高层领导的压力增加，39% 报告对未来攻击的焦虑或压力增加，27% 的情况下团队领导层被撤换。
显示“成功”的作业日志只能告诉你备份运行过了。它不能告诉你恢复能否以业务所需的速度和完整度完成。
这正是 3-2-1-1-0 规则中的“0”所要解决的失败模式。Veeam 的安全最佳实践指南将其定义为：使用 SureBackup 对每一份备份进行自动可恢复性验证时 “0 errors”（零错误）。完成的作业不等于经过验证的恢复，而验证只有在测试了你在真实事件中会面对的恢复场景时才算数。
模式 3：组织层面是最薄弱的环节
2025 年，Sophos 首次向受害者询问了让他们暴露在风险之下的组织因素。在主报告的全部 3,400 名受访者中：
- 40.2% 提到缺乏专业知识：没有及时发现和阻止攻击所需的技能或知识。
- 40.1% 提到未知的安全缺口：防御中存在他们未曾察觉的弱点。
- 39.4% 提到缺乏人手或能力。
- 受访者平均列举了 2.7 个促成因素。
企业细分数据几乎完全一致：未知的安全缺口（40%）、缺乏人手或能力（39.2%）和缺乏专业知识（38.9%）位列前三，平均列举了三个因素。
直白地说：安全团队人手和技能都不足，还存在他们自己看不到的盲区。我们认为，备份基础设施恰好处在这三种弱点的交汇处。当负责运营备份的人同时还要负责事件响应、补丁和身份管理时，备份基础设施很少能得到架构层面的关注，直到某次事件要求它交付成果为止。
行业报告补充了什么
Sophos 还发布了 2025 年调查的行业细分报告。
在制造与生产行业（332 名受访者），加密比例降至 40%，是五年来的最低点；赎金支付额中位数为 100 万美元，低于此前的 120 万美元。47% 报告 IT/网络安全团队对未来攻击的焦虑或压力增加。备份使用率稳定在 58%。
在零售行业（16 个国家的 361 名受访者），加密比例降至 48%，同样是五年来的最低点。未知的安全缺口是最常见的运营因素，有 46% 的受害者提到。数据被加密的零售商中有 58% 支付了赎金，Sophos 称之为 “the second highest ransom payment rate in five years”（五年来第二高的赎金支付率）。赎金要求中位数从 100 万美元翻倍至 200 万美元，备份使用率降至 62%，是四年来的最低点。
行业图景喜忧参半：零售业的备份使用率下降了，制造业则保持不变。这些行业报告与企业数据的共同点在于：预防能力的提升快于基于备份的恢复能力。两个行业的加密比例都在下降，而备份使用率要么下降，要么停滞不前。在我们看来，预防成熟度与恢复成熟度之间的这一差距，正是赎金支付存在的空间。
Sophos 报告的建议（以及我们会加重分量的地方）
- 预防：消除报告所指出的技术和运营层面的根本原因。
- 防护：坚实的基础安全，终端（包括服务器）得到良好防护，其中包括能够阻止恶意加密并将其回滚的专用反勒索软件防护。
- 检测与响应：全天候的威胁检测与响应；如果内部缺乏资源或技能，可以通过托管检测与响应（MDR）服务商实现。
- 规划与准备：一份你熟练掌握如何启用的事件响应计划，外加高质量的备份，并定期演练从备份中恢复数据。
这些都是对的。备份也在其中，就在“规划与准备”下面的一句话里。鉴于企业的备份数据，我们会给予恢复比这更多的分量：
恢复架构本身必须现代化，而不仅仅是加以防护。
一个为从硬件故障和误删除中恢复而设计的备份环境，与一个为从已经进入网络、并且首先针对备份下手的对手那里恢复而设计的备份环境，并不是一回事。前者是冗余问题，后者是架构问题。演练恢复是必要的，但如果攻击者能够触及你用来演练的那些备份，演练也无济于事。
备份信心差距：应当衡量什么
如果你只从 2025 年的 Sophos 数据中带走一项运营上的改变，那就是：不要再把备份成功率当作你的恢复指标，而要开始衡量备份信心。
备份成功率是备份软件免费提供给你的指标。它只回答一个问题：作业完成了吗？单凭它本身，并不是一个恢复指标。我们认为，仪表板上显示的内容与事件中实际能交付的结果之间的差距，正是基于备份的恢复比例下降 20 个百分点所反映的部分原因。
备份信心问的是不同的问题：
- 今天，在对抗条件下，我们能否在承诺的 RTO 内从不可变存储中恢复一级系统？
- 当生产环境的身份提供商被攻陷时，我们的恢复流程是否仍然有效？
- 我们是否已经验证，任何生产层级的凭据都无法修改我们的保留策略？
- 我们是否在监控备份系统的遥测数据以发现对手行为，而不仅仅是作业是否完成？
- 当事件响应团队被问到“我们该不该付钱？”时，回答的技术依据是什么？
这些问题都有答案。许多企业还不知道自己的答案。
我们从 2025 年 Sophos 数据中得出的结论
完整读完这些报告，我们看到的故事是这样的。
各组织在勒索软件加密数据之前将其阻止的能力有了实质性提升。这是真正的进步，值得肯定。
但恢复层，也就是“组织永远不必支付赎金，因为它们可以从干净的备份中恢复”这一承诺，承担的分量正在变小。在企业数据中，基于备份的恢复比例下降 20 个百分点是冒出来的烟。我们认为，其下的架构缺口才是火源。
对于身处受监管行业、运营复杂混合环境，或者只是不愿为下一场勒索软件行动出钱的企业来说，现在就该进行这场讨论。问题不是“我们有没有备份？”，而是：我们的备份架构能否在真正的对手面前存活下来，我们能否在需要它之前就证明这一点？
BackupSec 如何应对信心差距
在 BackupSec，我们的出发点是：备份环境必须在对抗条件下可观察、经过测试，而不仅仅是在正常条件下能够运行。我们的三项服务与上述失败模式相对应：
- ZeroMON 监控 Veeam Backup & Replication：作业健康状况、配置漂移（配有记录谁在何时更改了什么的 Forensic & Audit 审计跟踪）、Security Analyzer 检查清单、报告，以及监控设备上的一个蜜罐。它按照 Veeam 自身存储库设置所报告的情况显示不可变性状态；它读取的是 Veeam 的配置，不验证存储上对象级别的锁定。告警通过电子邮件和应用内通知发出。ZeroMON 以 OVA 形式在本地部署，通过只读账户连接，它收集的任何数据都不会发送给 BackupSec 或任何第三方。
- ZeroTAM 为你的团队配备一名专属的备份安全顾问，负责架构评审、勒索软件恢复规划、容量规划和危机中的优先支持。它是一项咨询服务，而不是软件，直接针对上文中缺乏专业知识和缺乏能力的调查结果。
- ZeroPEN 是针对 Veeam Backup & Replication、Veeam ONE 和 Enterprise Manager 的威胁主导型渗透测试。它分八个阶段模拟一条映射到 MITRE ATT&CK 的勒索软件攻击链：初始访问、发现与清点、凭据滥用、攻陷 Veeam 服务器、存储库访问、备份瘫痪、数据外泄模拟，以及加密能力证明。它是非破坏性的：ZeroPEN “never deletes real backups, performs real encryption, or stops production or backup services”（绝不删除真实备份、不执行真实加密，也不停止生产或备份服务）。该服务还包含恢复完整性和不可变性验证，最后交付一套可直接用于审计的报告，并对严重发现进行复测。
我们不取代你的备份平台。我们帮助你看清并测试你已经在运行的那一套。
Sophos 企业数据中的 53% 并非宿命。在我们看来，它反映的是为另一种威胁而构建的备份架构。
本分析参考了 Sophos 的 State of Ransomware 2025 报告、State of Ransomware in Enterprise 2025 报告及其 2025 年行业报告。文中的解读为 BackupSec 自己的观点。Sophos 此后已发布 The State of Ransomware 2026；本文涵盖的是 2025 年的数据。如需探讨这些发现如何适用于你的环境，请联系我们的团队 →