Sophos 2025 年报告中最被低估的数字
Sophos 于 2025 年 6 月发布 State of Ransomware 2025（2025 年勒索软件现状）报告时，核心发现令人鼓舞。50% 的攻击中数据遭到加密，低于 2024 年的 70%。53% 的受害者在一周内完全恢复，高于此前的 35%。赎金支付额中位数减半，从 200 万美元降至 100 万美元。这些数字是真实的，也很重要。但这份报告还首次探讨了另一件事：让企业暴露在风险之下的组织因素。在我们看来，这一部分中的一个统计数据，改变了企业风险负责人应当如何看待勒索软件。
该调查覆盖 17 个国家的 3,400 名 IT 与网络安全负责人，他们全部来自员工人数在 100 至 5,000 人之间、在过去 12 个月内遭受过勒索软件攻击的组织。当被问及其组织为何会成为受害者时，受访者平均列举了 2.7 个促成因素。
不是一个，甚至不是两个。平均而言，受害者为一次攻击列举了接近三个运营层面的条件。
这不是一个脚注。它有力地证明，单一控制措施的勒索软件防御，与受害者对自身事件的描述并不相符；它还表明，备份架构已经悄然成为企业技术栈中最重要的补偿性控制措施之一。
在 BackupSec，我们认为 2.7 这个数字是这份报告中最具战略价值的数字。本文将剖析它衡量的是什么，为什么它让“只靠预防”的策略难以自圆其说，以及它对那些仍把备份当作“真正的”安全之外的附属品的组织意味着什么。
2.7 究竟代表什么
Sophos 提出的问题是：“Why do you think your organization fell victim to the ransomware attack?”（你认为你的组织为什么会成为这次勒索软件攻击的受害者？）受访者可以从七个运营原因中选择不止一个，平均选择了 2.7 个。完整列表如下，并附有 3,400 名受访者中提到各项的比例：
- 缺乏专业知识：40.2%。 没有及时发现和阻止攻击所需的技能或知识。
- 未知的安全缺口：40.1%。 防御中存在组织未曾察觉的弱点。
- 缺乏人手/能力：39.4%。 攻击发生时，没有足够的网络安全专家在监控系统。
- 缺乏防护：39.0%。 没有必要的网络安全产品和服务。
- 已知但尚未处理的安全缺口：38.2%。
- 防护质量差，无法阻止攻击：37.1%。
- 人为失误：34.2%。
从问题的提问方式可以得出两点。2.7 是一个平均值，因此有的受害者只列举了一个因素，有的则列举了好几个。而且它记录的是受访者认为起了作用的因素，而不是取证调查的结论。这些因素之间也相互重叠。Sophos 将它们归为防护问题（63% 的受访者）、资源问题（63%）和安全缺口（65%）三组，并发现 “no single stand-out source.”（没有哪一个来源特别突出。）
Sophos 单独询问了技术层面的入侵点。32% 的攻击以漏洞利用为根本原因，23% 为凭据泄露，19% 为恶意邮件，18% 为网络钓鱼。这些比例描述的是攻击者如何进入，而 2.7 描述的是入侵周围的条件。
Sophos 自己的总结是：“victims are typically facing multiple operational challenges.”（受害者通常面临多重运营挑战。）我们将其理解为一个结构性问题，而不是一连串的坏运气。
如果受害者通常会列举将近三个促成条件，那么大多数企业仍在沿用的防御模式，即“找到缺口，堵上缺口”，面对的是一个只需要其中一个可被利用的攻击者。与此同时，防御方却必须同时管住所有这些条件。
这不是一个安全问题，而是一个不对称问题。
不对称：一扇门对七扇门
从攻击者的角度算一算。
一个现代勒索软件操作者（与国家有关联的团伙、RaaS 附属成员或独立团伙）并不需要找出并利用你环境中的每一个弱点。他们只需要一条可行的路径：一台未打补丁的系统、一套被盗的凭据、一个配置错误的云存储桶、一个容易上钓鱼邮件当的用户、一个管理上的漏洞。
再从防御方的角度算一算。你要负责：
- 在数千项资产上进行漏洞管理，而任何打补丁的节奏都无法可靠地跑在前面。
- 对人类用户、服务账户、联合身份以及越来越自主的智能体进行身份治理。
- 电子邮件与协作安全，这是一个重要的入侵点，也是人为变数最大的入侵点。在 Sophos 的调查中，恶意邮件和网络钓鱼合计是 37% 的攻击的根本原因。
- 终端防护，应对演变速度快于基于特征码的检测所能适应速度的恶意载荷。
- 针对持续变化的威胁模型设计的网络分段。
- 数十乃至数百项服务的云与 SaaS 配置，每项服务都有自己的权限模型。
- 备份与恢复基础设施，它必须在技术栈的其余部分已经未能防止事件发生的条件下正常工作。
攻击者只在这张棋盘上占一格，防御方却要每天用有限的资源守住全部七格。
这七个领域是我们自己的划分，而不是 Sophos 的七个答案选项。Sophos 的列表描述的是专业知识、能力和未知缺口等组织条件，它们贯穿上述每一个领域。2.7 这个数字依然用数据支持了这种不对称。受害者将他们遭受的攻击（调查询问的是过去 12 个月，因此其中许多发生在 2024 年）描述为平均将近三个促成条件共同作用的结果。这并不是疏忽的迹象，而是说明完全的预防在结构上就很难实现。
为什么“只要修复根本原因”是一笔糊涂账
对事件分析的一种常见反应，是找出“根本原因”并加以整改。大多数事后复盘都在强化这种思路。Sophos 2025 年的数据表明，这种思路虽然直觉上令人满意，却没有反映受害者自己是如何描述问题所在的。
如果受害者平均列举了 2.7 个促成因素，那么止步于单一根本原因的复盘很可能是不完整的。它告诉你攻击者是从哪扇门进来的，却没有告诉你为什么这栋楼有那么多没锁的门，以至于总有一扇会是开着的。
这在运营上很重要。花在去年事件那个特定入侵途径上的资源，就没有花在将决定明年结局的架构缺口上。我们对 Sophos 数据的解读是：以“单一根本原因”模式工作的组织，很可能在分层控制上投入不足，而正是这些分层控制决定了任何入侵途径是否会导致灾难性后果。
战略上的重新定位是：在任何足够复杂的企业环境中，攻击者最终都会找到一条可行的路径。 决定这条路径是否会以支付赎金告终的问题，不是“我们是否关上了每一扇门？”，而是“当其中一扇门被打开后，我们的架构能否存活下来？”
大多数企业低估的补偿性控制措施
2.7 这个数字所指向的架构洞见是：当预防时常失败时，决定业务结果的层就会向下游转移。
正是在这里，备份架构从“基础设施卫生”变成了“首要的战略控制措施”。
在单一途径的威胁模型中，备份是一条退路。在多因素的威胁模型中，备份是针对必然会发生的预防失败的补偿性控制措施。Sophos 首份 State of Ransomware in Enterprise 2025（2025 年企业勒索软件现状）报告基于来自员工人数在 1,000 至 5,000 人之间组织的 1,733 名受访者，揭示了其中的利害：
- 数据被加密的企业受害者中，48% 为取回数据支付了赎金，低于 2024 年的 55%。
- 企业使用备份恢复被加密数据的比例降至 53%，为四年来最低，低于 2024 年的 73%。
- 根据 2025 年主报告，员工人数在 1,000 至 5,000 人之间的组织平均花费 183 万美元用于恢复，不含已支付的赎金。
Sophos 将支付赎金和备份这两组数字结合起来解读，认为它们指向 “to stronger resistance to demands together with weaknesses and lack of backup resilience.”（对勒索要求的抵制更加坚决，同时备份存在弱点、缺乏韧性。）它还指出，数据被加密的企业中有 30% 使用了其他方式恢复数据，因此备份使用率的下降不只是备份失灵的故事。尽管如此，整体图景是一致的。进展到加密阶段的攻击变少了，但一旦发生加密，只有约一半的企业案例是靠备份完成恢复的。预防成熟度与恢复成熟度之间的差距，正是赎金支付存在的空间。
对企业风险负责人而言，这意味着需要有针对性地重新分配架构方面的关注。检测、身份和补丁方面的投入依然必不可少。但它们都无法消除 2.7，只是改变了某一天哪三扇门是开着的。决定一扇被打开的门是否会演变成关乎存亡的事件的，正是大多数组织现代化程度不足的那项控制措施：保存干净、不可变、经过验证的业务关键数据副本，并能在对抗条件下将其恢复的那套架构。
2.7 在一次事件中可能是什么样子
Sophos 没有把 2.7 拆解为一个先后序列，因此以下是我们对促成因素如何在企业环境中叠加的举例说明，而不是调查数据：
第一个因素通常是入侵途径：一台未打补丁的边界设备、一套在多个系统间重复使用的被盗凭据，或者一封得逞的钓鱼邮件。这就是事后报告会称之为“根本原因”的那个失败。
第二个因素通常是权限或可见性方面的失败，它让最初的立足点得以扩大：过多的常驻权限、横向移动检测中的盲区，或者业务部门之间的网络分段不足。
第三个因素是我们关注的那个：恢复层的失败，它让一次原本可控的入侵变成了一笔支付出去的赎金。可以从生产环境触及的备份凭据、可以被失陷的管理员修改的保留策略，或者从未针对团队此刻所面对的场景测试过的恢复流程。Sophos 在这方面有一个范围很窄的数据点：在 2025 年主报告中，支付金额超过初始赎金要求的 151 家组织里，38% 表示其备份失败或出现故障。
前两个因素在事件响应中会得到关注。第三个因素往往决定财务结果，而在一次事件迫使人们面对这个问题之前，很难对它作出诚实的评估。
这就是 2.7 这个数字所指向的运营现实。这些因素并不抽象：它们合在一起，就是把一次可控的安全事件变成董事会层面危机的那一连串失败。
这对风险分配意味着什么
如果你接受 2.7 这一发现在架构上具有意义（一项覆盖 3,400 家受害组织的调查让人很难对它置之不理），就可以得出若干关于资源分配的结论。
在整条失败链上分散投资，而不是集中在单一层内。 在电子邮件安全上加倍投入，却让恢复架构保持不变，只会改变哪个因素最先失败，并不会减少失败的总数。那些把预算不成比例地投向预防、同时把备份视为普通采购条目的企业安全预算，所针对的威胁模型并不反映受害者对自身事件的描述。
针对多因素场景而不是单一途径的测试来评估架构。 一项证明某一道防线能够守住的测试，并不能证明你的环境能在真实攻击中存活下来。在 Sophos 的调查中，受害者平均列举了将近三个促成因素。桌面推演和红队演练应当专门设计为检验这种复合条件。
衡量恢复信心，而不是备份完成情况。 Sophos 没有说明企业备份使用率为何降至 53%，而且下降的一部分反映的是使用了其他恢复方式。我们的解读是，许多备份架构是为单一因素的故障（一台服务器宕机、一名用户删除了文件）而设计的，如今却被要求在多因素条件下（攻击者已在网络中潜伏两周，并且什么都碰过了）发挥作用。这是两类不同的问题。Sophos 自己的建议是：“make quality backups and regularly practice restoring data from them.”（做好高质量的备份，并定期演练从备份中恢复数据。）
把恢复层当作它如今已经成为的补偿性控制措施来对待。 当预防有时注定会失败时，决定结果的是这样一层：它保存干净、隔离、不可变的数据副本，并能在恶劣条件下快速恢复它们。这一层必须以与它所保护的生产环境同等的严谨程度来设计、治理和测试。
BackupSec 能做什么
在 BackupSec，我们的方法建立在一个前提之上：预防终将在某处失败，而一旦失败，恢复层将决定这次失败是可以恢复的，还是关乎存亡的。
我们的三项服务对应着 2.7 这个数字引出的问题：
- ZeroMON 回答的是*“我们的备份环境此刻究竟在做什么？”* 它监控 Veeam Backup & Replication：作业健康状况、记录谁、什么、何时的配置变更（Forensic & Audit）、Security Analyzer 检查清单、报告，以及监控设备上的一个蜜罐。它按照 Veeam 自身存储库设置所报告的情况显示不可变性状态；它读取的是 Veeam 的配置，不验证存储上对象级别的锁定。告警通过电子邮件和应用内通知发出。ZeroMON 以 OVA 形式在本地部署，通过只读账户连接，不向 BackupSec 或任何第三方发送任何数据。
- ZeroTAM 回答的是*“我们是否具备解读所见情况的专业知识？”* 这正是 Sophos 列表中最常见因素背后的问题。一名专属的备份安全顾问负责架构、勒索软件恢复规划和容量规划，并在危机期间提供优先支持。它是咨询服务，而不是软件。
- ZeroPEN 回答的是*“攻击者针对我们的备份能走多远？”* 它是针对 Veeam Backup & Replication、Veeam ONE 和 Enterprise Manager 的威胁主导型渗透测试，分八个阶段模拟一条映射到 MITRE ATT&CK 的勒索软件攻击链，从初始访问到备份瘫痪，直至证明具备加密能力。它是非破坏性的：它 “never deletes real backups, performs real encryption, or stops production or backup services.”（绝不删除真实备份、不执行真实加密，也不停止生产或备份服务。）测试发现附有可直接用于审计的证据，严重发现会得到复测。
我们不取代你的备份平台。我们帮助让它所支撑的恢复层变得可观察、可理解，并针对 Sophos 数据所描述的多因素条件经过测试。
如果你的组织读了 Sophos 2025 年报告，得出的结论是答案在于关上每一扇门，那么数据告诉你的其实是另一回事：这些门不会全都一直关着，而决定其中一扇门打开之后会发生什么的架构，才是 2026 年值得讨论的话题。
本分析参考了 Sophos 的 State of Ransomware 2025 和 State of Ransomware in Enterprise 2025 报告。文中的解读和框架为 BackupSec 自己的观点。如需探讨本分析如何适用于你的环境，请联系我们的团队 →