W ubiegłym roku do ataków ransomware na firmy najczęściej dochodziło z powodu nieuświadomionych podatności w zabezpieczeniach, znanych, lecz zignorowanych słabych punktów infrastruktury IT oraz zawodnych narzędzi ochronnych, które nie były w stanie powstrzymać ataku. W globalnym badaniu firmy Sophos, respondenci z różnych branż wskazywali odmienne czynniki stojące za naruszeniami systemów w ich przedsiębiorstwach. Jednak niezależnie od branży, brak proaktywnej strategii ochrony zostawia cyberprzestępcom przestrzeń do działania.
Raport „State of Ransomware 2025” Sophos to spora dawka danych i wnikliwa analiza stanu cyberbezpieczeństwa w organizacjach na całym świecie na przestrzeni minionego roku (badanie zrealizowano na początku 2025 roku).
Z badania wyraźnie widać, gdzie i w jaki sposób przestępcy dostają się do firmowych zasobów i systemów. Atakujący aktywnie korzystają z możliwości wchodzenia do systemów swoich ofiar poprzez luki w zabezpieczeniach, których obecności administratorzy IT w firmach nie są świadomi. Na ten czynnik jako główny powód incydentów wskazali respondenci badania pracujący w szkolnictwie wyższym (49%), usługach profesjonalnych i handlu detalicznym (po 46%) oraz w finansach i ubezpieczeniach (44%). Zapewnienie pełnej widoczności i szybkiego wykrywania takich podatności, szczególnie gdy infrastruktura jest rozproszona i ma wiele punktów dostępu do sieci, stanowi niemałe wyzwanie.
Ponad 40% respondentów z branży energetycznej, przemysłowej oraz budowlanej wskazało, że najczęstszą przyczyną udanego ataku ransomware w ich przedsiębiorstwach był brak wystarczającej wiedzy lub umiejętności, które pozwoliłyby wykryć i zatrzymać atak ransomware na czas
Drugą stroną problemu z lukami w zabezpieczeniach jest bagatelizowanie znanych podatności. Na to źródło ataków ransomware wskazało 45% respondentów pracujących w administracji rządowej, 42% z branży IT i telekomunikacji oraz 41% w budownictwie i nieruchomościach. Powody takiego stanu rzeczy mogą być różne: od zwykłej prokrastynacji i przesuwania priorytetów biznesowych, przez ograniczenia budżetowe oraz kadrowe, po brak akceptacji dla przerw serwisowych. Niezależnie od przyczyny, skutek jest ten sam: pozostawione otwarte drzwi, z których cyberprzestępcy chętnie korzystają.
Chester Wisniewski, dyrektor ds. technologii, Sophos:
Nigdy nie można zakładać, że luka, która dziś nie sprawia problemu, nie zostanie wykorzystana przez cyberprzestępców jutro. Każda podatność może stać się punktem wejścia ataku, zagrażając nie tylko pojedynczemu urządzeniu, ale całemu systemowi IT w firmie. Regularne skanowanie sieci pod kątem niezałatanych luk w zabezpieczeniach, natychmiastowe wdrażanie poprawek oraz okresowe testy penetracyjne powinny być standardem, a nie wyjątkiem w polityce bezpieczeństwa. Narzędzia, które nie są poddawane testom, stanowią jedynie iluzję ochrony
Gdy brakuje ludzi i umiejętności
Nawet najbardziej zaawansowane systemy zabezpieczeń tracą skuteczność, jeśli nie korzystają z nich odpowiednio wyszkoleni specjaliści. Ponad 40% respondentów z branży energetycznej, przemysłowej oraz budowlanej wskazało, że najczęstszą przyczyną udanego ataku ransomware w ich przedsiębiorstwach był brak wystarczającej wiedzy lub umiejętności, które pozwoliłyby wykryć i zatrzymać atak ransomware na czas. W ochronie zdrowia oraz szkolnictwie główną słabością, która doprowadziła do ataku, okazał się niedobór personelu odpowiedzialnego za stałe monitorowanie infrastruktury IT. Wspólnym mianownikiem w obu przypadkach był brak zdolności do szybkiego wykrycia i neutralizacji zagrożenia w momencie, gdy jest ono jeszcze możliwe do opanowania.
„Stały monitoring bezpieczeństwa systemów IT jest krytycznym elementem utrzymania ciągłości ich działania oraz ochrony przed atakami. Firmy, które nie mają własnych zespołów odpowiedzialnych za wykrywanie incydentów i reagowanie na nie, mogą skorzystać z zewnętrznych ekspertów, zyskując w ten sposób całodobową ochronę swojej sieci. Do zabezpieczenia złożonych środowisk warto rozważyć wdrożenie takich systemów jak EDR (Endpoint Detection Response) czy XDR (Extended Detection Response), które gromadzą dane z różnych źródeł, zapewniają analizę podatności w szerokiej skali oraz umożliwiają automatyczne reagowanie na incydenty” – wskazuje Chester Wisniewski.
Zabezpieczenia w walce z ransomware
Jak wykazało badanie Sophos, istnieją również branże, w których zagrożenie atakami ransomware wynika przede wszystkim z braku wdrożenia niezbędnych zabezpieczeń. W podmiotach świadczących usługi finansowe aż 44% respondentów przyznało, że nie posiadało wymaganych narzędzi ochronnych, a w samorządach lokalnych odsetek ten wyniósł 40%. W niektórych przypadkach to właśnie zawodne zabezpieczenia nie były w stanie powstrzymać ataku. Z takim problemem najczęściej mierzyły się firmy z branży medialnej i rozrywkowej (41%) oraz transportu i logistyki (41%).
Skuteczna obrona przed ransomware zaczyna się dużo wcześniej niż moment ataku. Połączenie proaktywnej ochrony urządzeń, stałego monitoringu i pracy posiadającego odpowiednie kompetencje zespołu pozwala wykrywać zagrożenia i reagować, zanim wyrządzą one szkody. W środowisku, w którym cyberprzestępcy stale szukają najsłabszego punktu zabezpieczeń, taka wielowarstwowa architektura pozwala na utrzymanie szczelności cyfrowej ochrony.
