SOPHOS报告：超过半数零售业者在遭受勒索软体攻击后选择支付赎金

Sophos 发布第五届年度《零售业勒索软体现况报告》。该报告为一项不特定厂商的调查，访问来自 16 个国家的 IT 与信息安全主管，深入探讨勒索软体攻击对企业的影响。本年度报告显示，近半数 (46%) 零售业勒索软体事件可归咎于先前未察觉的安全漏洞，突显零售产业在攻击面可视性上持续面临挑战。在资料遭到加密的受害组织中，有 58% 支付赎金以取回资料，为过去五年来第二高的支付比例。  

报告重点发现 

• 46% 的攻击源自未知的安全漏洞 (为主要的营运面因素) 
• 30% 的攻击利用已知漏洞 (连续第三年为技术面的根本原因) 
• 在资料遭加密的受害者中，有 58% 支付赎金；48% 的攻击导致资料被加密 (为五年来最低比例) 
• 勒索金额中位数较 2024 年翻倍至 200 万美元；平均支付金额增加 5%，达到 100 万美元 

Sophos 观察到的零售业威胁趋势 

在过去一年中，Sophos X-Ops 观察到近 90 个不同的威胁组织，曾在资料泄漏网站上以勒索软体或恐吓手法锁定一个或多个零售业者。Sophos 透过事件回应与 MDR 案例追踪到的最活跃威胁组织包括 Akira、Cl0p、Qilin、PLAY 和 Lynx。
  
除了勒索软体攻击，「帐号入侵」是零售业第二常见的信息安全事件类型。而与许多产业相同，零售业也经常成为商业电子邮件入侵 (BEC) 集团的攻击目标，这些集团试图窃取或转移款项。BEC 是第三常见的信息安全事件类型。 

Sophos 全球资深现场信息安全长 Chester Wisniewski 表示，全球零售业正面临愈来越复杂的威胁环境，攻击者仍持续寻找并利用现有漏洞，尤其集中在远端存取与面向网际网路的网路设备。如今勒索金额再创新高，表示组织更迫切地需要导入全面性的安全策略。若是缺乏这样的防护，零售业者恐面临长期的营运中断与声誉损害，甚至需要多年才能恢复。但值得欣慰的是，许多企业已开始意识到这一点，并投入资源强化网路防御，使他们能在攻击扩大前即加以阻止，并加速复原。

内部专业能力不足是导致企业遭到入侵的第二大营运面因素 (45%)，再来是防护覆盖范围不足 (44%)。若缺乏适当的技能与防护能力，零售业者将难以侦测并化解攻击。 

除了这些挑战外，报告中也显示了一些正面的讯息。被成功阻止于加密前的攻击比例达到五年新高，显示零售组织在侦测与快速制止攻击的能力上已有所提升。资料遭加密的比例则降至五年来最低，目前仅有 48% 的攻击导致资料被加密。  

虽然零售业支付的平均赎金金额上升了 5% (2025 年为 100 万美元，高于 2024 年的 95 万美元)，但平均支付金额仅为平均勒索金额的一半，这显示零售业者对过高的勒索要求愈加抗拒，并可能寻求专家协助以因应勒索软体攻击。  

Sophos 全球资深现场信息安全长 Chester Wisniewski 补充，最终，成功的信息安全计画应聚焦于风险管理。为了评估并管理这些风险，零售业者必须对所面临的威胁、资产以及自身的安全状况具备清晰可见性。能够结合完善的资产管理与修补作业，并搭配受管侦测与回应 (MDR) 及托管式风险服务的组织，往往能更有效地预防攻击、加速复原，并以主动的姿态强化其网路防御。

根据《2025 年零售业勒索软体现况报告》显示 

• 资料加密情况下降，但攻击者正持续调整手法：虽然资料加密比例降至五年来最低，但攻击者正改变策略，仅采取恐吓手法攻击的零售业比例已成长三倍，从 2023 年的 2% 上升至 2025 年的 6%。
   
• 备份使用率下降：在遭受攻击的零售业者中，仅有 62% 透过备份还原资料，为四年来最低比例。  
   
• 零售业者愈加抗拒勒索要求：比较勒索要求与实际支付情况，仅有 29% 的零售业者表示支付金额与原始要求相符；59% 支付的金额低于要求，另有 11% 支付的金额更高。  
   
• 复原成本呈下降趋势：值得注意的是，从勒索软体攻击中复原 (不含赎金) 的平均成本较去年下降 40%，降至 165 万美元，为三年来最低。 
   
• 勒索软体攻击对团队造成直接影响：近半数 (47%) 零售业 IT/信息安全团队在资料遭加密后表示压力增加，另有四分之一 (26%) 的案例导致管理层被更换。 

强化长期防御能力 

根据 Sophos 在全球零售业防护经验，以下为协助企业超前因应勒索软体与其他网路威胁的最佳实务建议： 

• 根除根本原因：主动采取措施修补常见的技术与营运弱点，例如攻击者常利用的漏洞。透过 Sophos Managed Risk 等解决方案，组织可评估自身曝险程度，并降低整体风险。 
   
• 防护每个端点：确保所有端点 (包含伺服器) 皆具备专属的反勒索防护机制，以防止攻击渗透。 
   
• 规划与预备：建立并定期测试完整的事件回应计画。维持可靠的资料备份，并定期演练资料还原流程，以在攻击发生时将停机时间降至最低。 
   
• 全天候监控：持续可视性至关重要。若缺乏内部资源，组织可与值得信赖的托管式侦测与回应 (MDR) 服务供应商合作，透过全天候威胁监控与专家回应来强化防御的韧性。