Raport IBM „Cost of a Data Breach” z 2025 roku nadał twardą liczbę czemuś, przed czym specjaliści ds. bezpieczeństwa ostrzegali od lat: żądanie okupu nigdy nie jest rzeczywistym kosztem ataku ransomware. Według raportu średni całkowity koszt incydentu ransomware sięgnął 4,4 mln USD, czyli ponad 38 razy więcej niż średnie żądanie okupu wynoszące 115 tys. USD. Gdy analiza ogranicza się do naruszeń związanych konkretnie z ransomware lub wymuszeniem, średni koszt wzrasta jeszcze bardziej – do 5,08 mln USD.

Dla małych i średnich przedsiębiorstw (MŚP) te liczby nie są abstrakcją. Reprezentują one lukę między tym, na co firmy przeznaczają budżet (na okup, którego mają nadzieję nigdy nie zapłacić), a tym, co atak faktycznie wysysa z organizacji, gdy uwzględni się odzyskiwanie danych, przestoje, ryzyko prawne i utratę reputacji.

Liczby ukryte za nagłówkami

Mnożnik 38x między żądaniem okupu a całkowitym kosztem incydentu to najważniejsza liczba w raporcie IBM i zasługuje na więcej uwagi, niż zwykle się jej poświęca. Większość rozmów o ransomware koncentruje się na samym okupie: ile napastnicy żądają, czy płacić i jak negocjować. Jednak dane IBM sugerują, że fiksacja na kwocie okupu przesłania prawdziwe zagrożenie finansowe.

Żądanie okupu w wysokości 115 tys. USD brzmi jak możliwy do udźwignięcia, choć bolesny wydatek biznesowy. Łączny koszt w wysokości 4,4 mln USD to już zupełnie inna rozmowa – dotykająca listy płac, umów z dostawcami, zaufania klientów, a w niektórych przypadkach samego przetrwania firmy. Kwota 5,08 mln USD dla naruszeń związanych z ransomware i wymuszeniem potwierdza, że ta kategoria incydentów niezmiennie należy do najdroższych rodzajów naruszeń danych, z jakimi może się zmierzyć organizacja.

Dlaczego żądanie okupu to najmniejsza część rachunku

Różnica między okupem a całkowitym kosztem istnieje, ponieważ ransomware nie tylko szyfruje pliki – ono zakłóca działanie operacyjne. Systemy przestają działać. Pracownicy nie mają dostępu do narzędzi potrzebnych do wykonywania pracy. Usługi dostępne dla klientów przestają funkcjonować. Trzeba zaangażować zespoły odzyskiwania danych, często w trybie awaryjnym, aby odbudować infrastrukturę od podstaw, zamiast po prostu ufać kluczowi deszyfrującemu od napastnika.

Do zakłóceń operacyjnych dochodzą koszty, które narastają długo po przywróceniu systemów: powiadomienia organów regulacyjnych, potencjalne grzywny, odejścia klientów, opłaty prawne i cios w reputację, który może nastąpić po publicznym ujawnieniu naruszenia. Szersze badania IBM dotyczące kosztów naruszeń danych konsekwentnie pokazują, że te koszty wtórne – a nie początkowe żądanie wymuszenia – stanowią większość tego, co ostatecznie wydaje organizacja. Ransomware po prostu skupia wszystkie te koszty w krótszym, bardziej chaotycznym okresie.

Dlaczego małe i średnie firmy są celem numer jeden

MŚP są atrakcyjnymi celami właśnie dlatego, że zazwyczaj dysponują mniejszymi budżetami na bezpieczeństwo i szczuplejszymi zespołami IT niż duże przedsiębiorstwa, a jednocześnie często przechowują cenne dane klientów lub finansowe. Napastnicy wiedzą, że mniejsza organizacja rzadziej ma nadmiarowe systemy, dedykowany zespół reagowania na incydenty czy rezerwy gotówkowe pozwalające przetrwać dłuższą awarię bez poważnych konsekwencji.

Ta dynamika wyraźnie uwidoczniła się w ostatnich kampaniach ransomware. Grupy takie jak Qilin i The Gentlemen nasilają ataki właśnie na małe i średnie firmy, rywalizując o dominację w przestrzeni ransomware-as-a-service poprzez koncentrowanie się na organizacjach, które są mniej przygotowane do obrony. Dane IBM dotyczące kosztów pomagają wyjaśnić dlaczego: dla napastników MŚP stanowią połączenie realnego potencjału wypłaty i stosunkowo słabej obrony – kombinację, która utrzymuje ten segment dokładnie na celowniku.

Co to oznacza dla Ciebie

Jeśli prowadzisz lub pracujesz w małej lub średniej firmie, te liczby powinny zmienić Twoje myślenie o ryzyku ransomware. Ważne pytanie nie brzmi „czy stać nas na zapłacenie okupu, jeśli do tego dojdzie”, ale „czy możemy przetrwać całkowity koszt incydentu, uwzględniający tygodnie przestoju, koszty odzyskiwania i następstwa”. Ten całkowity koszt, według danych IBM, liczony jest w milionach, a nie w dziesiątkach tysięcy.

Ma to również bezpośrednie konsekwencje dla prywatności. Incydenty ransomware często wiążą się z kradzieżą danych obok szyfrowania, co oznacza, że dane osobowe klientów i pracowników mogą zostać ujawnione nawet po opłaceniu okupu. Firmy, które traktują ransomware wyłącznie jako ryzyko awarii IT, nie doceniają obowiązków w zakresie prywatności i zgodności z przepisami, wynikających z naruszenia obejmującego skradzione dane.

Praktyczne wnioski

Biorąc pod uwagę skalę tych kosztów, zapobieganie i gotowość mają o wiele większe znaczenie niż strategia negocjacji. Kilka konkretnych kroków, które warto potraktować priorytetowo:

  • Utrzymuj regularne, przetestowane kopie zapasowe przechowywane offline lub w sposób uniemożliwiający napastnikom dostęp do nich i zaszyfrowanie ich razem z głównymi systemami.
  • Stwórz plan reagowania na incydenty przed atakiem, a nie w jego trakcie, uwzględniając jasne role dotyczące decyzji o przestojach, ujawnieniu i kontakcie z organami ścigania.
  • Zainwestuj w podstawową higienę bezpieczeństwa: uwierzytelnianie wieloskładnikowe, terminowe łatanie luk oraz świadomość phishingu wśród pracowników, ponieważ wiele infekcji ransomware zaczyna się od pojedynczego skompromitowanego poświadczenia lub kliknięcia w e-mailu.
  • Zrozum z wyprzedzeniem swoje obowiązki w zakresie powiadamiania o naruszeniu danych, ponieważ ransomware połączone z kradzieżą danych może uruchomić wymogi prawne niezależnie od tego, czy okup zostanie zapłacony.

Wnioski IBM z 2025 roku mówią jasno: żądanie okupu odwraca uwagę od rzeczywistego zagrożenia finansowego, jakie stanowi ransomware. Dla MŚP zasypywanie przepaści między żądaniem 115 tys. USD a rachunkiem na 4,4 mln USD zaczyna się na długo przed tym, zanim napastnik wyśle pierwszą wiadomość.