IBM:s 2025 års rapport om kostnaden för dataintrång har satt en konkret siffra på något säkerhetsexperter varnat för i åratal: lösenkravet är aldrig den verkliga kostnaden för en ransomware-attack. Enligt rapporten uppgick den genomsnittliga totalkostnaden för en ransomware-incident till 4,4 miljoner dollar, mer än 38 gånger högre än det genomsnittliga lösenkravet på 115 000 dollar. När analysen snävas in till intrång som specifikt involverar ransomware eller utpressning stiger den genomsnittliga kostnaden ytterligare, till 5,08 miljoner dollar.

För små och medelstora företag är dessa siffror inte abstrakta. De representerar gapet mellan vad företag budgeterar för (en lösenbetalning de hoppas aldrig behöva göra) och vad en attack faktiskt dränerar organisationen på när återställning, driftstopp, rättslig exponering och ryktesskada räknas in.

Siffrorna bakom rubriken

38x-multiplikatorn mellan lösenkrav och total incidentkostnad är den viktigaste siffran i IBM:s rapport, och den förtjänar mer uppmärksamhet än den vanligtvis får. De flesta samtal kring ransomware fokuserar på själva lösenkravet: hur mycket angriparna begär, om man ska betala och hur man förhandlar. Men IBM:s data antyder att fixeringen vid lösenbeloppet döljer det verkliga ekonomiska hotet.

Ett lösenkrav på 115 000 dollar låter som en hanterbar, om än smärtsam, affärskostnad. En totalkostnad på 4,4 miljoner dollar är ett helt annat samtal, ett som berör löner, leverantörskontrakt, kundförtroende och i vissa fall själva företagets överlevnad. Siffran 5,08 miljoner dollar för specifikt ransomware- och utpressningsintrång bekräftar att denna typ av incident konsekvent hör till de dyraste typerna av dataintrång en organisation kan drabbas av.

Varför lösenkravet är den minsta delen av notan

Gapet mellan lösenkravet och totalkostnaden existerar eftersom ransomware inte bara krypterar filer – det stör verksamheten. System går offline. Anställda kan inte nå de verktyg de behöver för att utföra sitt arbete. Kundnära tjänster slutar fungera. Återställningsteam måste kallas in, ofta akut, för att återuppbygga infrastruktur från grunden istället för att helt enkelt lita på en dekrypteringsnyckel från angriparen.

Utöver den operativa störningen tillkommer kostnader som ackumuleras långt efter att systemen är återställda: regulatoriska anmälningar, potentiella böter, kundbortfall, juridiska avgifter och den ryktesmäll som kan följa på ett offentligt intrångsavslöjande. IBM:s bredare forskning om kostnaden för dataintrång har konsekvent visat att dessa efterföljande kostnader, snarare än det initiala utpressningskravet, utgör lejonparten av vad en organisation i slutändan spenderar. Ransomware koncentrerar bara alla dessa kostnader till en kortare, mer kaotisk tidsperiod.

Varför små och medelstora företag är mål nummer ett

Små och medelstora företag är attraktiva måltavlor just för att de tenderar att ha mindre säkerhetsbudgetar och smalare IT-team än stora företag, samtidigt som de ofta innehar värdefull kund- eller finansiell data. Angripare vet att en mindre organisation är mindre benägen att ha redundanta system, dedikerad incidenthanteringspersonal eller de kassareserver som krävs för att absorbera ett utdraget driftstopp utan allvarliga konsekvenser.

Denna dynamik har spelats ut synligt i de senaste ransomware-kampanjerna. Grupper som Qilin och The Gentlemen har trappat upp attacker specifikt mot små och medelstora företag, och tävlar om dominans inom ransomware-as-a-service-utrymmet genom att fokusera på organisationer som är mindre rustade att slå tillbaka. IBM:s kostnadssiffror hjälper till att förklara varför: för angripare representerar små och medelstora företag en kombination av verklig utbetalningspotential och jämförelsevis svaga försvar, en kombination som håller detta segment stadigt i skottlinjen.

Vad detta innebär för dig

Om du driver eller arbetar i ett litet eller medelstort företag bör dessa siffror omforma hur du tänker kring ransomware-risk. Den relevanta frågan är inte ”har vi råd att betala ett lösenkrav om det blir nödvändigt”, utan ”kan vi överleva den totala kostnaden för en incident, inklusive veckor av driftstopp, återställningskostnader och efterspelet.” Den totala kostnaden är enligt IBM:s data i miljonbelopp, inte tiotusental.

Detta har också direkta integritetskonsekvenser. Ransomware-incidenter involverar ofta datastöld vid sidan av kryptering, vilket innebär att kunders och anställdas personuppgifter kan hamna i det fria även om lösensumman betalas. Företag som behandlar ransomware enbart som ett IT-avbrott riskerar att underskatta de integritets- och efterlevnadsskyldigheter som följer på ett intrång med stulen data.

Praktiska lärdomar

Med tanke på omfattningen av dessa kostnader är förebyggande och beredskap långt viktigare än förhandlingsstrategi. Några konkreta åtgärder värda att prioritera:

  • Upprätthåll regelbundna, testade säkerhetskopior som lagras offline eller på ett sätt som angripare inte kan nå och kryptera tillsammans med dina primära system.
  • Ta fram en incidenthanteringsplan innan en attack inträffar, inte under en, med tydliga roller för vem som fattar beslut om driftstopp, avslöjande och kontakt med brottsbekämpande myndigheter.
  • Investera i grundläggande säkerhetshygien: multifaktorautentisering, punktlig patchning och medvetenhet om phishing hos anställda, eftersom många ransomware-infektioner börjar med en enda komprometterad inloggning eller ett e-postklick.
  • Förstå dina skyldigheter kring anmälan av dataintrång i förväg, eftersom ransomware som involverar datastöld kan utlösa lagkrav oavsett om en lösensumma betalas.

IBM:s resultat för 2025 gör en sak tydlig: lösenkravet är en distraktion från det verkliga ekonomiska hot som ransomware utgör. För små och medelstora företag börjar arbetet med att täppa till gapet mellan ett krav på 115 000 dollar och en räkning på 4,4 miljoner dollar långt innan en angripare skickar det första meddelandet.