Cyberprzestępcy wyraźnie zmieniają taktykę działania wobec dużych przedsiębiorstw. Z opracowanego przez firmę Sophos raportu „The State of Ransomware in Enterprise 2025” wynika, że mediana żądanego okupu wobec podmiotów zatrudniających powyżej 1000 pracowników spadła z 2,75 mln do 1,2 mln dolarów, co stanowi największy roczny spadek od początku prowadzenia badania. Jednocześnie rośnie skuteczność firm w zatrzymywaniu ataków jeszcze zanim dane zostaną zaszyfrowane. Nie oznacza to jednak, że ransomware przestał być poważnym zagrożeniem – zmieniła się raczej jego ekonomia i sposób wywierania presji.
Wyniki badania Sophos wyraźnie wskazują, że cyberprzestępcy dostosowują skalę swoich żądań do możliwości ofiar, a zaatakowane przedsiębiorstwa poprawiają zdolności reagowania. Ransomware pozostaje jednak zagrożeniem systemowym – mniej spektakularnym finansowo niż rok temu, ale wciąż poważnym z perspektywy operacyjnej i kadrowej.
Warto zauważyć, że oprócz spadku mediany oczekiwanego okupu obniżyła się równocześnie mediana faktycznie zapłaconego haraczu – z 1,26 mln do 1 mln dolarów. Spadek wynika przede wszystkim z mniejszej liczby żądań przekraczających 5 mln dolarów. Firmy płacą też mniejszy odsetek pierwotnie żądanej kwoty (w 2025 r. przeciętnie było to 86%, wobec 95% rok wcześniej). Ponad połowa przedsiębiorstw, które zapłaciły okup, wynegocjowała niższą kwotę niż początkowo oczekiwana.
– Zaobserwowana zmiana nie oznacza jednak łagodniejszego podejścia atakujących. Raczej świadczy o większym pragmatyzmie, bowiem zamiast maksymalizować wysokość pojedynczego okupu, częściej „celują” w kwoty, które ofiara jest w stanie realnie zapłacić – mówi Chester Wisniewski, Director, Global Field CISO w Sophos.
Coraz mniej skutecznych ataków, ale presja pozostaje
Jak podkreślają analitycy Sophos, po raz pierwszy od pięciu lat mniej niż połowa ataków zakończyła się zaszyfrowaniem danych. W 2025 r. było to 49% przypadków, podczas gdy dwa lata wcześniej odsetek ten sięgał 75%. Jednocześnie 47% ataków zostało zatrzymanych przed zaszyfrowaniem danych – to ponad dwukrotnie więcej niż w 2023 r., gdy było to 22%. Dane te pokazują poprawę w zakresie przegotowania technicznego przedsiębiorstw do wykrywania zagrożeń oraz procesów reagowania na incydenty.
Od kilku lat cyberprzestępcy nie poprzestają wyłącznie na próbach zaszyfrowania danych, mając świadomość, że potencjalna ofiara może szybko odzyskać je z kopii zapasowej. Dlatego równolegle podejmowane są próby kradzieży informacji i – według wyników badania – powiodły się one w 30% przypadków. Nie oznacza to jednak, że skutki ataku są ograniczone wyłącznie do prób szyfrowania. Wśród podmiotów, w których się to udało, 30% doświadczyło również kradzieży danych.
– Model podwójnego wymuszenia – szyfrowanie połączone z groźbą ujawnienia danych – nadal jest istotnym elementem presji i szantażu spowodowania kryzysu wizerunkowego lub odpowiedzialności prawnej. Nawet jeśli firma jest w stanie przywrócić środowisko IT do pracy z kopii zapasowych, ryzyko wycieku informacji wprowadziło konsekwencje ataków ransomware na zupełnie nowy poziom – ostrzega Chester Wisniewski.
Najczęstszą techniczną przyczyną powodzenia ataków pozostają wykorzystywane przez cyberprzestępców luki w oprogramowaniu na komputerze ofiary – odpowiadały za 29% incydentów. Na drugim miejscu znalazły się skutecznie przeprowadzone kampanie phishingowe (21%), których udział niemal podwoił się rok do roku. Tyle samo przypadków wiązało się z użyciem skompromitowanych danych logowania ofiary.
Jednak obok czynników technicznych równie istotne są kwestie organizacyjne. W tym obszarze najczęściej wskazywanym powodem skuteczności ataku była nieznana wcześniej luka w zabezpieczeniach (40% odpowiedzi). Niewiele rzadziej wymieniano braki kadrowe (39%) oraz brak odpowiednich kwalifikacji wśród personelu (również 39%).
Przywrócenie środowiska pracy jest szybsze, ale kosztowne
Średni koszt usunięcia skutków ataku (bez uwzględnienia wartości okupu) spadł o 41%, do najniższego poziomu od trzech lat (z 3,12 mln do 1,84 mln dolarów). Firmy szybciej wracają też do normalnego funkcjonowania. W 2025 r. połowa przedsiębiorstw odzyskała sprawność w ciągu tygodnia, podczas gdy rok wcześniej było to tylko 36%. Łącznie 95% podmiotów deklaruje pełne odtworzenie działalności w ciągu trzech miesięcy.
Jednocześnie 96% firm, których dane zostały zaszyfrowane, zdołało je odzyskać. Co istotne, spadł odsetek podmiotów korzystających z kopii zapasowych (53% wobec 73% rok wcześniej), a 48% zdecydowało się zapłacić okup. Coraz częściej stosowane są też inne metody przywracania danych.
Statystyki dotyczące powrotu do działalności nie oddają jednak w pełni wpływu incydentów na pracowników. We wszystkich firmach, w których doszło do zaszyfrowania danych, wystąpiły negatywne konsekwencje dla zespołów IT i cyberbezpieczeństwa. 40% wskazało na zwiększoną presję ze strony zarządu, 39% na wzrost obciążenia pracą i stres, 31% na absencje związane ze zdrowiem psychicznym, a w 27% przypadków doszło do wymiany lidera zespołu.
Zaobserwowany w badaniu Sophos spadek mediany okupów i kosztów odbudowy może sugerować poprawę sytuacji, jednak dane pokazują raczej ewolucję zagrożenia, jakim jest ransomware, niż jego osłabienie. Częściej udaje się wykrywać ataki, zanim doprowadzą one do zaszyfrowania danych, ale nadal skutkują one kradzieżą informacji, co – jak pokazuje doświadczenie, którym dzielą się ofiary – bywa znacznie bardziej dotkliwe ze względu na utratę zaufania klientów oraz ryzyko poważnych konsekwencji prawnych.
