Ransomware w 2026 roku nie wygląda jak problem, który można zamknąć w dziale IT i wrócić do budżetu, sprzedaży czy produkcji. Raport Sophos State of Ransomware 2026 pokazuje coś znacznie ciekawszego. Mediana żądań okupu jest niższa niż jeszcze dwa lata temu, ale atakujący częściej doprowadzają atak do etapu szyfrowania danych, a koszt powrotu firmy do normalnej pracy rośnie.
To właśnie dlatego ransomware 2026 jest tematem dla zarządu, a nie tylko dla administratora. W badaniu Sophos wzięło udział 2158 liderów IT i cyberbezpieczeństwa z organizacji zatrudniających od 100 do 5000 osób. Każda z badanych organizacji doświadczyła ransomware w ciągu poprzednich 12 miesięcy.
Jeśli potrzebujesz krótkiego wprowadzenia do samego mechanizmu ataku, na NodeIT jest już materiał czym jest ransomware i jak chronić dane. Tutaj skupiam się na tym, co zmieniło się w 2026 roku i jakie decyzje biznesowe z tego wynikają.
Ransomware 2026 w 60 sekund
56% ataków zakończyło się zaszyfrowaniem danych. Rok wcześniej było to 50%.
1,7 mln USD wyniósł średni koszt odzyskania organizacji po incydencie. To wzrost o 11% rok do roku.
769 tys. USD wyniosła mediana zapłaconego okupu. Rok wcześniej było to 1 mln USD.
66% organizacji, których dane zostały zaszyfrowane, wykorzystało backup do odzyskania danych. To wzrost o 12 punktów procentowych względem 2025 roku.
Tylko 34% najmniejszych organizacji w badaniu, zatrudniających od 100 do 250 osób, zatrzymało atak przed szyfrowaniem lub wymuszeniem. W firmach zatrudniających od 3001 do 5000 osób udało się to w 46% przypadków.
Wniosek jest dość prosty. Ekonomia okupu trochę się poprawia, ale ekonomia samego incydentu już nie. Firma może zapłacić mniej przestępcom, a jednocześnie wydać więcej na odtworzenie systemów, analizę incydentu, przestój i powrót do normalnej pracy.
Poczta wróciła na pierwsze miejsce
Przez trzy poprzednie lata najczęściej wskazywaną techniczną przyczyną ransomware były wykorzystane podatności. W raporcie Sophos na 2026 rok ten układ się zmienił.
Złośliwe wiadomości odpowiadały za 26% incydentów, phishing za 24%, przejęte dane logowania za 23%, wykorzystane podatności za 18%, a ataki siłowe za 6%. Sophos zwraca uwagę, że złośliwa poczta i phishing razem odpowiadają za połowę badanych incydentów.
To ważna korekta priorytetów. Aktualizacje nadal są konieczne, ale samo sprawne łatanie systemów nie wystarczy. Trzeba równie poważnie traktować pocztę, uwierzytelnianie i zachowanie użytkownika.
Jeżeli firma pracuje w Microsoft 365, warto spojrzeć na konfigurację Microsoft 365 nie tylko przez pryzmat licencji i poczty, lecz także ochrony logowania, ról administracyjnych i dostępu do danych. Drugim elementem są regularne szkolenia z cyberbezpieczeństwa dla pracowników, oparte na realnych scenariuszach phishingu, a nie na prezentacji oglądanej raz w roku.
Z perspektywy zarządu nie trzeba znać wszystkich rekordów DNS. Warto natomiast wymagać, aby SPF, DKIM i DMARC były poprawnie skonfigurowane i regularnie sprawdzane.
Tożsamość stała się częścią powierzchni ataku
Jedna z najmocniejszych liczb w raporcie mówi, że 79% ataków ransomware zaczynało się od podejścia opartego na tożsamości. W 67% przypadków ofiary potwierdziły, że ransomware było tym samym zdarzeniem co ich najpoważniejszy incydent związany z tożsamością.
Jeszcze ciekawszy jest temat MFA. Aż 97% organizacji, w których przyczyną były przejęte dane logowania, miało MFA wdrożone w jakiejś formie w momencie ataku.
To nie jest argument przeciwko MFA. Wręcz przeciwnie. To argument przeciwko MFA wdrożonemu tylko tam, gdzie było najłatwiej.
W praktyce luka może zostać na VPN, panelu administracyjnym firewalla, starszej aplikacji, koncie technicznym albo innym systemie, który działa od lat i nie został objęty tym samym standardem co Microsoft 365. Dla zarządu pytanie nie powinno więc brzmieć: „czy mamy MFA?”. Lepsze pytanie brzmi: „czy wszystkie krytyczne drogi dostępu do firmy wymagają silnego uwierzytelnienia?”.
Firewall może być drogą wejścia i bardzo drogim problemem
Sophos po raz pierwszy pokazał również, gdzie zaczynały się ataki w środowisku IT. W grupie incydentów związanych z wykorzystaniem podatności, przejętymi danymi logowania lub atakiem siłowym, 38% zaczynało się na wystawionych aplikacjach i systemach, 30% na urządzeniach użytkowników, 21% na firewallach, 8% na VPN, a 3% na urządzeniach IoT.
Szczególnie interesujący jest firewall. Jeżeli ransomware zaczynało się od wykorzystania podatności właśnie na tym urządzeniu, 59% żądań okupu opiewało na co najmniej 1 mln USD. Dla wszystkich ataków odsetek takich żądań wynosił 48%.
Powód jest logiczny. Firewall stoi w uprzywilejowanym miejscu infrastruktury. Jeżeli atakujący przejmie urządzenie, które kontroluje ruch między siecią firmy a internetem lub między segmentami sieci, dostaje znacznie lepszą pozycję do dalszego działania.
Dlatego firewall dla firmy nie powinien być traktowany jak urządzenie, które kupuje się raz i zostawia na kilka lat. Liczą się aktualizacje, ograniczenie dostępu administracyjnego, bezpieczny VPN, monitoring i sensowna segmentacja sieci.
Okup spada, ale rachunek za incydent rośnie
Na pierwszy rzut oka część danych wygląda optymistycznie. Mediana żądanego okupu wyniosła 698 tys. USD i spadła o 65% w ciągu dwóch lat. Mediana faktycznie zapłaconego okupu wyniosła 769 tys. USD wobec 1 mln USD rok wcześniej. Ponad połowa płacących organizacji wynegocjowała kwotę niższą od początkowego żądania.
Tyle że zarząd nie powinien mierzyć ransomware tylko wysokością przelewu do przestępców.
Średni koszt odzyskania po incydencie wzrósł do 1,7 mln USD. To koszt powrotu do działania, a nie cena samego okupu. W praktyce firma płaci za pracę specjalistów, odtwarzanie infrastruktury, analizę zakresu incydentu, utracony czas pracowników, opóźnienia operacyjne i często za pilne zakupy lub zmiany, które normalnie byłyby rozłożone w czasie.
To jest jedna z najważniejszych informacji z raportu Sophos. Ransomware 2026 trzeba liczyć jako ryzyko ciągłości działania, nie jako ryzyko „zapłacimy albo nie zapłacimy”.
Backup działa, ale tylko wtedy, gdy da się go odtworzyć
W 66% przypadków, w których doszło do zaszyfrowania danych, organizacje wykorzystywały backup do odzyskiwania. To wyraźnie lepszy wynik niż rok wcześniej.
Jednocześnie 48% ofiar z zaszyfrowanymi danymi nadal zapłaciło okup. Sam fakt posiadania kopii nie kończy więc problemu.
Dobra kopia po ransomware musi być aktualna, odseparowana od produkcji, odporna na usunięcie lub zaszyfrowanie i przede wszystkim przetestowana. Raport „backup wykonany poprawnie” jest przydatny, ale dla biznesu ważniejsze jest pytanie: ile czasu potrzebujemy, żeby uruchomić najważniejszy system z odzyskanych danych?
Na NodeIT opisaliśmy szerzej, jak sprawdzić, czy firmowy backup naprawdę da się odtworzyć. Jeżeli temat wymaga uporządkowania od strony technicznej, warto zacząć od backupu odpornego na ransomware i testu odtwarzania.
Małe firmy mają mniej miejsca na błąd
Wyniki Sophos pokazują wyraźną różnicę między mniejszymi a większymi organizacjami. Tylko 34% firm zatrudniających od 100 do 250 osób zatrzymało atak przed szyfrowaniem lub wymuszeniem. W grupie od 3001 do 5000 pracowników było to 46%.
Nie oznacza to, że mała firma musi budować własny SOC i zatrudniać kilkunastu specjalistów. Oznacza natomiast, że nie może opierać bezpieczeństwa na jednej osobie, jednym antywirusie i nadziei, że „nas to nie dotyczy”.
Mniejsza organizacja zwykle ma mniej czasu, ludzi i zapasu finansowego na chaotyczne odzyskiwanie. Dlatego bardziej opłaca się wcześniej uporządkować kilka podstawowych obszarów i wiedzieć, kto reaguje, gdy pojawi się alert.
Jeżeli interesuje Cię sam przebieg incydentu, warto przeczytać także co dzieje się w pierwszych 24 godzinach ransomware w małej firmie.
Co powinien zrobić zarząd w 2026 roku?
- Sprawdzić pełne pokrycie MFA. Nie tylko poczta i Microsoft 365. Również VPN, konta administratorów, firewalle, aplikacje dostępne z internetu oraz starsze systemy, które nadal mają dostęp do ważnych danych.
- Potraktować pocztę jako krytyczną powierzchnię ataku. Ochrona poczty, poprawna konfiguracja domeny, szkolenia użytkowników i sensowna procedura zgłaszania podejrzanych wiadomości powinny działać razem.
- Zrobić przegląd systemów dostępnych z internetu. Firma powinna wiedzieć, co faktycznie wystawia na zewnątrz, kto tym zarządza, kiedy było aktualizowane i czy panel administracyjny naprawdę musi być publicznie dostępny.
- Połączyć ochronę endpointów z monitoringiem i reakcją. EDR lub XDR bez osoby, która patrzy na alerty, może być bardzo drogim generatorem powiadomień. Monitoring infrastruktury IT powinien mieć jasno określone progi, odpowiedzialność i eskalację.
- Przetestować odtwarzanie z backupu. Nie sprawdzać tylko, czy zadanie kopii jest zielone. Trzeba odtworzyć wybrany system, plik lub maszynę i zmierzyć realny czas powrotu do pracy.
- Przećwiczyć prosty scenariusz incydentu z osobami decyzyjnymi. Kto podejmuje decyzję o odłączeniu systemów, kto rozmawia z IT, kto komunikuje się z pracownikami, kto kontaktuje się z ubezpieczycielem i prawnikami, a kto pilnuje ciągłości najważniejszych procesów.
- Raz na jakiś czas spojrzeć na całość z zewnątrz. Audyt cyberbezpieczeństwa pozwala sprawdzić konta, MFA, pocztę, firewall, VPN, endpointy, backup i dostęp zdalny jako jeden system, a nie jako oddzielne pudełka.
Czy Twoja firma jest gotowa na ransomware 2026?
Dla osoby z zarządu dobry test nie wymaga dostępu do konsoli firewalla. Wystarczy pięć pytań.
Czy wiemy, które systemy są dostępne z internetu i kto je aktualizuje?
Czy MFA obejmuje wszystkie krytyczne logowania, a nie tylko pocztę?
Czy ktoś potrafi pokazać wynik realnego testu odtwarzania z backupu?
Czy alert bezpieczeństwa po godzinach ma właściciela i jasną ścieżkę eskalacji?
Czy firma wie, kto podejmuje decyzje w pierwszej godzinie incydentu?
Jeżeli na dwa lub trzy z tych pytań odpowiedź brzmi „nie wiem”, problemem nie musi być brak kolejnego narzędzia. Częściej brakuje spójności, odpowiedzialności i kontroli nad tym, co już jest wdrożone.
I dokładnie do tego prowadzi najważniejszy wniosek Sophos. Skuteczna ochrona nie powstaje przez dokładanie kolejnych produktów. Lepiej działa wtedy, gdy poczta, tożsamość, endpointy, sieć, backup i monitoring pracują jako jeden system.
Jeżeli chcesz uporządkować ten model, zobacz rozwiązania cyberbezpieczeństwa dla firm albo zacznij od audytu najważniejszych ryzyk.
Ransomware 2026: najważniejszy wniosek dla zarządu
Raport Sophos nie mówi, że ransomware staje się mniej groźne. Mówi coś bardziej użytecznego: zmieniają się drogi wejścia, tożsamość i poczta mają coraz większe znaczenie, szyfrowanie nadal często się udaje, a koszt odzyskania rośnie.
Dla zarządu oznacza to zmianę sposobu zadawania pytań. Nie „jaki mamy antywirus?”, tylko „czy potrafimy zatrzymać atak i wrócić do pracy?”. Nie „czy mamy backup?”, tylko „kiedy ostatnio odtworzyliśmy z niego system?”. Nie „czy mamy MFA?”, tylko „gdzie jeszcze go nie mamy?”.
Ransomware 2026 jest przede wszystkim testem dojrzałości operacyjnej. Technologia jest ważna, ale wynik incydentu zależy od tego, czy zabezpieczenia są połączone, monitorowane i rzeczywiście sprawdzone.
FAQ
Czy MFA chroni przed ransomware?
Tak, ale samo wdrożenie MFA nie zamyka tematu. Raport Sophos pokazuje, że wiele zaatakowanych organizacji miało MFA w części środowiska. Kluczowe jest objęcie nim wszystkich istotnych dróg dostępu, zwłaszcza VPN, kont administracyjnych, urządzeń brzegowych i aplikacji dostępnych z internetu.
Czy backup wystarczy, żeby nie płacić okupu?
Backup bardzo zwiększa szanse na odzyskanie danych, ale musi być odporny na atak i regularnie testowany. Sam status poprawnie wykonanej kopii nie gwarantuje, że firma odzyska system w akceptowalnym czasie.
Jak najczęściej zaczynają się ataki ransomware w 2026 roku?
Według Sophos najczęściej wskazywano złośliwe wiadomości, phishing oraz przejęte dane logowania. Wykorzystane podatności spadły na dalszą pozycję, choć nadal pozostają istotnym źródłem ryzyka.
Źródło i metodologia
Artykuł powstał na podstawie Sophos State of Ransomware 2026. Badanie objęło 2158 liderów IT i cyberbezpieczeństwa z 17 krajów, reprezentujących organizacje zatrudniające od 100 do 5000 pracowników, które doświadczyły ransomware w ciągu poprzednich 12 miesięcy.
NodeIT współpracuje z rozwiązaniami Sophos. Informacje o ofercie i wdrożeniach znajdziesz na stronie Sophos dla firm.