Jak pokazuje globalne badanie firmy Sophos, w ostatnim roku do ataków ransomware na firmy najczęściej dochodziło z powodu nieuświadomionych podatności w zabezpieczeniach (40% wskazań), znanych, lecz zignorowanych słabych punktów infrastruktury IT (38%) oraz zawodnych narzędzi ochronnych, które nie były w stanie powstrzymać ataku (37%). Respondenci z różnych branż wskazywali odmienne czynniki stojące za naruszeniami systemów w ich przedsiębiorstwach, co odzwierciedla specyficzne wyzwania dotyczące cyberbezpieczeństwa w poszczególnych obszarach działalności. Jednak niezależnie od branży, brak proaktywnej strategii ochrony zostawia cyberprzestępcom przestrzeń do działania.
Atakujący aktywnie korzystają z możliwości wchodzenia do systemów swoich ofiar poprzez luki w zabezpieczeniach, których obecności administratorzy IT w firmach nie są świadomi. Na ten czynnik jako główny powód incydentów wskazali respondenci badania pracujący w szkolnictwie wyższym (49%), usługach profesjonalnych i handlu detalicznym (po 46%) oraz w finansach i ubezpieczeniach (44%). Zapewnienie pełnej widoczności i szybkiego wykrywania takich podatności, szczególnie gdy infrastruktura jest rozproszona i ma wiele punktów dostępu do sieci, stanowi niemałe wyzwanie.
Drugą stroną problemu z lukami w zabezpieczeniach jest bagatelizowanie znanych podatności. Na to źródło ataków ransomware wskazało 45% respondentów pracujących w administracji rządowej, 42% z branży IT i telekomunikacji oraz 41% w budownictwie i nieruchomościach. Powody takiego stanu rzeczy mogą być różne: od zwykłej prokrastynacji i przesuwania priorytetów biznesowych, przez ograniczenia budżetowe oraz kadrowe, po brak akceptacji dla przerw serwisowych. Niezależnie od przyczyny, skutek jest ten sam: pozostawione otwarte drzwi, z których cyberprzestępcy chętnie korzystają.
– Nigdy nie można zakładać, że luka, która dziś nie sprawia problemu, nie zostanie wykorzystana przez cyberprzestępców jutro. Każda podatność może stać się punktem wejścia ataku, zagrażając nie tylko pojedynczemu urządzeniu, ale całemu systemowi IT w firmie. Regularne skanowanie sieci pod kątem niezałatanych luk w zabezpieczeniach, natychmiastowe wdrażanie poprawek oraz okresowe testy penetracyjne powinny być standardem, a nie wyjątkiem w polityce bezpieczeństwa. Narzędzia, które nie są poddawane testom, stanowią jedynie iluzję ochrony – podkreśla Chester Wisniewski, dyrektor ds. technologii w firmie Sophos.
Gdy brakuje ludzi i umiejętności…
Nawet najbardziej zaawansowane systemy zabezpieczeń tracą skuteczność, jeśli nie korzystają z nich odpowiednio wyszkoleni specjaliści. Ponad 40% respondentów z branży energetycznej, przemysłowej oraz budowlanej wskazało, że najczęstszą przyczyną udanego ataku ransomware w ich przedsiębiorstwach był brak wystarczającej wiedzy lub umiejętności, które pozwoliłyby wykryć i zatrzymać atak ransomware na czas. W ochronie zdrowia oraz szkolnictwie główną słabością, która doprowadziła do ataku, okazał się niedobór personelu odpowiedzialnego za stałe monitorowanie infrastruktury IT. Wspólnym mianownikiem w obu przypadkach był brak zdolności do szybkiego wykrycia i neutralizacji zagrożenia w momencie, gdy jest ono jeszcze możliwe do opanowania.
– Stały monitoring bezpieczeństwa systemów IT jest krytycznym elementem utrzymania ciągłości ich działania oraz ochrony przed atakami. Firmy, które nie mają własnych zespołów odpowiedzialnych za wykrywanie incydentów i reagowanie na nie, mogą skorzystać z zewnętrznych ekspertów, zyskując w ten sposób całodobową ochronę swojej sieci. Do zabezpieczenia złożonych środowisk warto rozważyć wdrożenie takich systemów jak EDR (Endpoint Detection Response) czy XDR (Extended Detection Response), które gromadzą dane z różnych źródeł, zapewniają analizę podatności w szerokiej skali oraz umożliwiają automatyczne reagowanie na incydenty – wskazuje Chester Wisniewski.
Wielowarstwowe zabezpieczenia w walce z ransomware
Jak wykazało badanie Sophos, istnieją również branże, w których zagrożenie atakami ransomware wynika przede wszystkim z braku wdrożenia niezbędnych zabezpieczeń. W podmiotach świadczących usługi finansowe aż 44% respondentów przyznało, że nie posiadało wymaganych narzędzi ochronnych, a w samorządach lokalnych odsetek ten wyniósł 40%. W niektórych przypadkach to właśnie zawodne zabezpieczenia nie były w stanie powstrzymać ataku. Z takim problemem najczęściej mierzyły się firmy z branży medialnej i rozrywkowej (41%) oraz transportu i logistyki (41%).
Skuteczna obrona przed ransomware zaczyna się dużo wcześniej niż moment ataku. Połączenie proaktywnej ochrony urządzeń, stałego monitoringu i pracy posiadającego odpowiednie kompetencje zespołu pozwala wykrywać zagrożenia i reagować, zanim wyrządzą one szkody. W środowisku, w którym cyberprzestępcy stale szukają najsłabszego punktu zabezpieczeń, taka wielowarstwowa architektura pozwala na utrzymanie szczelności cyfrowej ochrony.
O raporcie
Dane z raportu „State of Ransomware 2025” pochodzą z badania przeprowadzonego wśród 3,4 tys. liderów IT oraz cyberbezpieczeństwa w okresie od stycznia do marca 2025 roku. Badanych pytano o ich doświadczenia związane z ransomware w ciągu ostatnich 12 miesięcy. Respondenci pochodzili z 17 krajów z obu Ameryk, Europy, Azji i rejonu Pacyfiku. Badane firmy zatrudniały od 100 do 5 tys. pracowników, a ich roczne przychody wahały się od 5 milionów dolarów do ponad 50 miliardów dolarów.
