Sophos 数据中最乏味的发现，也是最重要的发现
每一年，关于勒索软件的讨论都会围绕新的攻击技术变得更加喧闹。AI 生成的钓鱼邮件。深度伪造的社会工程。对抗性机器学习。“离地攻击”（living-off-the-land）二进制文件。借由冷门依赖项发起的供应链攻击。这种叙事总是在暗示：防御方正面临一种全新的威胁，需要全新的工具来应对。
连续三次调查，Sophos 的 State of Ransomware（勒索软件现状）报告都给出了一个不那么时髦的答案。2025 年版用一句话概括了它：
"For the third year running, victims identified exploited vulnerabilities as the most common technical root cause of attack, used in 32% of incidents."
（受害者连续第三年将漏洞利用认定为最常见的攻击技术根本原因，32% 的事件中使用了这一手段。）
不是什么奇特的技术，而是受害者早已在运行的软件中的一个缺陷，被当作了入口。Sophos 并没有把这一类别细分为零日漏洞和已有补丁的漏洞，因此调查无法说明这些事件中有多少在遭受攻击当天是可以打补丁修复的。它确实表明的是：连续三年，受害者提及次数最多的单一入口都是它。
这一连续纪录此后已经终结。在 2026 年版中，漏洞利用降至 18%，排在恶意邮件（26%）、网络钓鱼（24%）和凭据泄露（23%）之后。我们会在下文再谈这一变化，因为它不是削弱而是强化了我们的论点：首要入口在短短一年内就发生了变化，而防御方面临的恢复问题并没有随之改变。
在 BackupSec，我们把这三年的连续纪录视为一个战略信号。已知的安全弱点与已修复的安全弱点之间的差距，并不会按照预防工作的时间表缩小。本文将探讨这一差距为何持续存在，为什么单靠预防无法弥合它，以及这对 2026 年的备份架构意味着什么。
Sophos 数据究竟说明了什么
Sophos 2025 年报告基于一项由 Sophos 委托、由第三方专业机构于 2025 年 1 月至 3 月间实施的独立的、不偏向任何厂商的调查。调查覆盖 17 个国家的 3,400 名 IT 与网络安全负责人，他们全部来自员工人数在 100 至 5,000 人之间、在过去十二个月内遭受过勒索软件攻击的组织。Sophos 以调查进行的年份为每份报告命名，并指出 “many of the attacks referenced occurred in 2024.”（报告中提及的许多攻击发生在 2024 年。）全部 3,400 名受访者都回答了关于根本原因的问题：
- 漏洞利用：32% 的攻击，连续第三年位居第一（2023 年报告中为 36%，2024 年为 32%）。
- 凭据泄露：23%，低于 2024 年的 29%。
- 恶意邮件：19%。
- 网络钓鱼：18%，高于上一年的 11%。
基于同一项 2025 年调查的行业报告大多遵循这一模式。在制造业，漏洞利用以 32% 位居首要原因。在零售业，它以 30% 连续第三年领先。但并非每个行业都如此：在医疗行业，漏洞利用以 33% 位居榜首，这是 “for the first time in three years.”（三年来的第一次。）这一模式覆盖面很广，但并不普遍。
关于这项调查本身，有一点需要说明。它记录的是受害者认为的根本原因，而 Sophos 自己的事件数据得出的结论略有不同。在其 2025 Active Adversary Report（2025 年主动对手报告）所涵盖的 2024 年事件响应和 MDR 案例中，凭据泄露居首（41%），漏洞利用居第二（22%）。无论哪种口径，漏洞利用都位于或接近榜首。
这一调查发现之所以重要，在于它的持续性。这一比例从 36% 回落到 32%，随后保持不变，三年间没有任何其他入口超过它。
这应当让我们看到这个问题在架构层面的某些本质。
为什么打补丁会失败，即使组织确实在打补丁
对“三分之一的攻击始于漏洞利用”的直觉反应是：“那就更快地打补丁。”这个反应是正确的，但在运营上并不充分，而它为何力有不逮，值得坦诚地加以审视。
分母问题。 一家中型组织很容易就会在操作系统、应用程序、固件、容器镜像和 SaaS 配置中运行数千个不同的软件组件。厂商的安全公告源源不断。即使是处于最佳状态的安全团队，也无法在 CVE 发布当天为每一个组件打上补丁。“可能被利用的东西”这个分母，在结构上就大于“本周能够打补丁的东西”这个处理能力。
关键性问题。 许多补丁需要停机、回归测试，或者与守护营收的业务负责人进行协调。最需要打补丁的系统（面向外部的应用程序、遗留生产系统、OT 和工业控制基础设施），往往正是停机代价最高的系统。于是补丁被排期、推迟、打包处理，最后被遗忘。这笔维护欠账，恰恰是寻找入口的攻击者首先会去查看的地方。
发现问题。 你无法为看不见的东西打补丁。在 Sophos 2025 年的调查中，组织未曾察觉的安全缺口是 40.1% 的攻击的促成因素，仅次于缺乏专业知识（40.2%）。受访者平均列举了 2.7 个促成因素，因此这些是促成原因，而不是唯一原因。在零售业，未知的安全缺口是被提及最多的运营原因，有 46% 的受害者提到。影子 IT、未记录在案的系统、被遗忘的云工作负载，以及带有自身依赖树的第三方集成，使现代攻击面确实难以穷尽列举。你的资产清单所显示的内容与攻击者实际能够触及的范围之间的差距，正是许多被利用漏洞的藏身之处。
时间窗口问题。 即使漏洞已知、补丁也已存在，从披露到被利用的时间也已急剧缩短。Mandiant 的漏洞利用时间分析测得，2018–2019 年平均为 63 天，2021–2022 年为 32 天，2023 年为五天。在其追踪的、在补丁发布后才被利用的缺陷中，12% 在一天之内被利用，29% 在一周之内被利用。而在其追踪的 2023 年被利用的漏洞中，70% 是作为零日漏洞被利用的，即在任何补丁出现之前。几年前的打补丁时间窗口已经不复存在。
这些问题都不是再买一个漏洞管理工具就能解决的。它们是组织运营 IT 方式的结构性特征，也有助于解释为什么漏洞利用连续三年位居 Sophos 榜单之首。
AI 带来的注意力偏移
Sophos 2025 年的数据，也是对 AI 驱动攻击这一主流叙事的一次有益纠偏。
2025 年业界的讨论高度聚焦于 AI 生成的钓鱼活动、深度伪造社会工程和借助机器学习的规避手段。这些威胁是真实的，值得关注。在 2025 年的调查中，网络钓鱼确实有所上升，从攻击的 11% 升至 18%。Sophos 没有说明这一上升中有多少来自 AI 撰写的诱饵，我们也无法说明。2025 年的数据确实表明的是：网络钓鱼并没有取代漏洞利用成为首要入口。
2026 年版让局面有了新的变化。基于电子邮件的攻击跃居首位：恶意邮件（26%）和网络钓鱼（24%）合计占全部事件的一半，而漏洞利用下降了 14 个百分点，降至 18%。Sophos 同样没有把这一变化归因于 AI。
给风险负责人的现实教训是：对任何声称最重要的防御投入就是今年排名第一的那个攻击途径的说法都要保持怀疑，包括我们自己的说法。榜首在十二个月内就换了人。依赖于关上某一扇特定之门的防御，是在押注一个移动的靶子。更持久的投入，是让任何单一入侵途径对最终结果的影响都变小。
“影响变小”究竟意味着什么
一旦接受漏洞利用无法被完全消除，就会得出这样一个架构上的洞见。如果相当一部分攻击将继续始于一个你没有及时修补的缺陷（在连续三次 Sophos 调查中约占三分之一，在第四次调查中仍接近五分之一），那么战略问题就从“我们如何更快地打补丁？”转向了“如果没打上补丁，会发生什么？”
这正是大多数安全架构仍在回避的问题。
在一个假定预防有效的防御模型中，漏洞利用被视为一种需要消除的失败。在一个认真对待 Sophos 数据的防御模型中，它被视为一种反复出现的状况，架构的其余部分必须能够吸收它，而不至于造成灾难性后果。
从“消除”到“吸收”的转变，正是成熟的可靠性工程多年前完成的那种转变。在分布式系统中，你无法消除故障。你设计的是在故障发生时能够平稳降级的系统。你衡量的是平均恢复时间，而不仅仅是平均故障间隔时间。你把韧性当作一项首要的架构属性，而不是在预防失败之后的收尾工作。
安全领域正在慢慢开始运用同样的逻辑。在我们看来，Sophos 的数据有力地证明，这一转变早就该发生了。
备份架构在哪里成为关键支点
当某个漏洞被利用、攻击者建立起立足点之后，接下来的链条已有充分记录：横向移动、权限提升、侦察、数据外泄，最终部署恶意载荷。而且这个过程很快。在 Sophos 2025 Active Adversary Report 所依据的 2024 年案例中，勒索软件事件响应案例的驻留时间中位数为 4 天，MDR 案例为 3 天。这就是攻击者用来找到并瓦解那些原本可以支撑恢复的控制措施的时间，它比大多数审查周期还要短。
这些控制措施中最重要的，就是备份环境。
如果从一台因漏洞被利用而失陷的系统能够触及你的备份基础设施，那么这个漏洞就不只是让攻击得以发生，而是让攻击得以获胜。从架构角度看，面向互联网的应用程序上一个被利用的 CVE，重要的不在于它在那台主机上做了什么，而在于它让攻击者在随后的几天里能够对你的恢复层做什么。
这正是 Sophos 数据所暗示的关键支点。无论在某一年排名第几，漏洞利用都将仍是主要的入侵途径之一。决定结果的变量，是你的恢复架构能否从建立了这些立足点的系统上被触及。
具体来说，这意味着：
身份分离。 保护生产系统的凭据，绝不能授予对备份基础设施的访问权限。如果一个失陷的域管理员账户能够访问你的备份存储库，那么你的备份就属于那个未修补漏洞所暴露出的攻击面的一部分。
经过验证的不可变性。 基于软件的保留策略可以被任何拥有足够权限的人修改。硬件强制或平台强制的保留锁就是为抵御这种情况而设计的，但“已配置”和“确实按预期工作”是两种不同的说法，只有测试才能区分它们。无论你的不可变性是由备份平台、存储层还是加固存储库来强制执行的，关键的属性在于它是否在对抗条件下经过了测试，而不仅仅是在设置面板中被启用。
网络与信任隔离。 一个与生产系统处在同一网络域中的备份环境，从威胁建模的角度看就是生产环境的一部分。逻辑隔离和物理隔离，才能让备份基础设施从“又一个目标”变成“在其他目标失守时依然存活的那一层”。
定期的恢复验证。 在 Sophos 2025 年的调查中，数据被加密的组织中只有 54% 从备份中恢复了数据，这是六年来的最低比例，也是连续第三年下降。Sophos 没有询问其余组织原因。它确实报告了 29% 使用了 “other means”（其他方式），并表示其中很可能包括已被公开的解密密钥（允许多选）。它关于备份失败的唯一直接数据点范围很窄：在支付金额超过初始要求的 151 家组织中，38% 表示其备份失败或出现故障。2026 年版显示出反弹，数据被加密的受害者中有 66% 从备份中恢复。无论如何，一份从未在真实条件下恢复过的备份只是一个假设，而不是一项控制措施。
战略上的重新定位
对风险负责人而言，漏洞利用连续三年位居榜首，并不是对漏洞管理计划的控诉。它证明的是：漏洞管理无论执行得多好，都无法单独承担勒索软件防御的全部重量。
2025 年“32% 的攻击始于漏洞利用”这一发现，应当与同一调查中的另一个数字对照来读：数据被加密的组织中有 49% 支付了赎金，低于前一年的 56%。在 2026 年版中，这一比例为 48%，Sophos 给出的四年平均值约为 50%。在我们看来，这些数字是相互关联的。它们描述的是这样一种态势：因为恢复层靠不住，所以要求预防必须万无一失。纠正之道不是让预防更加万无一失，而是让恢复足够可靠，使预防的失败不再决定业务结果。
这种纠正是架构层面的，而且早就该进行了。能够弥合这一差距的组织，将是那些无论事件从哪扇门进来、其恢复层都能吸收的组织。2026 年的数据表明，最繁忙的那扇门可以变得多么快。
BackupSec 能做什么
在 BackupSec，我们的出发点是：预防有时会失败，而一旦失败，结果取决于两件事：你的数据是否存在干净、隔离的副本，以及是否有人检查过备份层能否经受住即将到来的攻击。
我们的三项服务与上述缺口相对应：
- ZeroMON 监控 Veeam Backup & Replication。它以 OVA 形式在本地运行，通过只读账户连接，不向 BackupSec 或任何第三方发送任何数据。它跟踪 Veeam 中的作业健康状况和配置变更（谁在何时更改了什么），按照 Veeam 自身存储库设置所报告的情况显示不可变性状态，展示 Veeam 的 Security & Compliance Analyzer 的结果，并包含一个蜜罐，记录针对 ZeroMON 设备的扫描和连接尝试，作为侦察活动的早期信号。告警通过电子邮件和应用内通知发出。由于它读取的是 Veeam 的配置，它不验证存储本身上对象级别的锁定。
- ZeroTAM 为你的团队配备一名专属的备份安全顾问，负责架构、勒索软件恢复规划和容量规划，并在危机中提供优先支持。它是咨询工作，而不是软件。
- ZeroPEN 是针对 Veeam Backup & Replication 以及 Veeam ONE 和 Enterprise Manager 的威胁主导型渗透测试。它分八个阶段模拟一条映射到 MITRE ATT&CK 的勒索软件攻击链，从初始访问，经过攻陷 Veeam 服务器、存储库访问和备份瘫痪，直至证明具备加密能力。它是非破坏性的：“ZeroPEN never deletes real backups, performs real encryption, or stops production or backup services.”（ZeroPEN 绝不删除真实备份、不执行真实加密，也不停止生产或备份服务。）你将获得可直接用于审计的证据，说明一个已取得立足点的攻击者能够触及哪些范围，并获得针对严重发现的复测。
32% 这个数字从来不是宿命，2026 年的 18% 也不是缓刑。两者描述的都是前门。决定结果的，是恢复层会不会随预防层一同失守。把两者解耦，并不能让你对漏洞利用免疫，但能让一个漏打的补丁远不太可能决定你是否要支付赎金。
本分析参考了 Sophos 的 State of Ransomware 2025 和 2026 报告、Sophos 2025 年制造业、零售业和医疗行业的行业报告、Sophos 的 2025 Active Adversary Report，以及 Mandiant 2023 年的漏洞利用时间分析。文中的解读和框架为 BackupSec 自己的观点。如需探讨其如何适用于你的环境，请联系我们的团队 →