Zapłacić okup czy nie? Co o ransomware mówią dane z 2026 roku

Sprawdź darmową edukację z cyberbezpieczeństwa ↓

Tagi: ransomware, ochrona-przed-ransomware, cyberatak, backup, odzyskiwanie-danych, ciaglosc-dzialania

Zapłacić okup czy nie? Co o ransomware mówią dane z 2026 roku

Serwery zaszyfrowane, firma stoi, a na ekranie żądanie okupu z terminem zapłaty. W tym momencie zarząd pyta zwykle o jedno: płacimy czy nie? Na to pytanie da się odpowiedzieć na podstawie danych, a nie emocji.

Najwięcej konkretów daje raport Sophos State of Ransomware 2026. To ankieta wśród ponad 2100 organizacji z 17 krajów (zatrudniających od 100 do 5000 osób), które w ostatnim roku padły ofiarą ransomware. Problem jest wyraźny także w Polsce: według ESET w drugiej połowie 2025 r. Polska była na 3. miejscu na świecie pod względem ataków ransomware.

Ile firm płaci okup i jakie to kwoty

Prawie połowa. Okup zapłaciło 48% firm, którym przestępcy zaszyfrowali dane. Ten odsetek od lat utrzymuje się na podobnym poziomie – średnia z ostatnich czterech edycji badania to 50%.

Kwota okupu zależy przede wszystkim od wielkości firmy. W organizacjach z przychodem poniżej 50 mln USD przestępcy żądali zwykle ok. 140 tys. USD, a firmy płaciły ok. 50 tys. USD. W organizacjach z przychodem powyżej 5 mld USD żądania sięgały 5,7 mln USD. Podajemy mediany, a nie średnie, bo kilka bardzo wysokich okupów mocno zawyżałoby średnią.

Okup często jest negocjowany. Ponad połowa firm, które zapłaciły (51%), przekazała przestępcom mniej, niż żądali. 30% zapłaciło dokładnie tyle, ile chcieli przestępcy, a 18% – więcej. Typowa wpłata wynosiła 90% pierwotnego żądania.

Czy zapłata okupu kończy problem

Nie. Nawet po zapłacie firma musi odbudować systemy, a to kosztuje. Średni koszt usunięcia skutków ataku wyniósł ok. 1,7 mln USD, a mediana 375 tys. USD – i to bez okupu. Sophos wlicza w to m.in. przestój, czas pracy zespołu, koszt sprzętu i utracone szanse biznesowe.

Drugi problem to dane. W 16% ataków przestępcy nie tylko zaszyfrowali dane, ale też je ukradli. Zapłata może dać klucz do odszyfrowania, ale skradzionych danych nie odzyska.

Poradnik o ransomware na rządowym portalu gov.pl przypomina, że zapłata nie gwarantuje odzyskania danych ani tego, że nie zostaną one upublicznione. Zwraca też uwagę, że pieniądze z okupu wspierają grupy przestępcze, a te – zachęcone sukcesem – mogą podejmować kolejne ataki. Potwierdzają to dane: w badaniu CrowdStrike State of Ransomware Survey z 2025 r. 83% firm, które zapłaciły okup, zostało zaatakowanych ponownie.

Kiedy nie trzeba płacić okupu

Gdy firma ma kopię zapasową, która przetrwała atak. W badaniu z 2026 r. dane odtworzono z backupu w 66% ataków, w których doszło do zaszyfrowania (rok wcześniej – w 54%). Warunek jest jeden: ransomware krążący po sieci nie może mieć dostępu do kopii.

Powrót do działania nie musi trwać tygodniami: 55% firm w pełni odbudowało się w ciągu tygodnia, a 16% w mniej niż dobę. Ile to potrwa, zależy jednak od rozwiązania do backupu i od tego, czy kopie były wcześniej sprawdzane. Zalecane jest regularne testowanie kopii zapasowych, przechowywanie ich offline lub w formie niezmienialnej (immutable) oraz uwzględnienie ich w spisanym planie reagowania na incydenty.

Jak nie dopuścić do tej decyzji

Najlepiej, żeby do tej decyzji w ogóle nie doszło. Według Sophos 79% ataków zaczęło się od prób zdobycia danych logowania albo od użycia już skradzionych. O tym, jak przestępcy zdobywają takie dane i ile za nie płacą, piszemy w artykule Ile kosztuje dostęp do sieci firmy w darknecie.

Kopia zapasowa odporna na ransomware. Xopero chroni kopie zapasowe na kilka sposobów. Dane w kopii są zapisywane w formacie, którego nie da się uruchomić, a magazyn zgodny ze standardem WORM uniemożliwia ich zmianę lub usunięcie. Xopero ogranicza też dostęp do danych logowania do magazynu, dzięki czemu ransomware nie dostanie się do kopii nawet z zainfekowanego komputera. Urządzenie Xopero Unified Protection pozwala dodatkowo przenosić kopie do odizolowanej strefy sieci (technologia xSAIR).

Blokowanie nieznanych programów. WatchGuard Endpoint Security 360 domyślnie nie pozwala uruchamiać aplikacji, którym nie ufa, i kontroluje uruchamiane procesy w modelu Zero Trust. Dzięki temu nieznany program – także ransomware – może zostać zablokowany, zanim zacznie działać.

Całodobowy nadzór. Usługa MDR to zespół analityków, który przez całą dobę obserwuje środowisko IT i reaguje na zagrożenia – także wtedy, gdy w firmie nie ma nikogo z IT. W WatchGuard MDR monitorowanie 24/7 prowadzi SOC WatchGuard, a przy wdrożeniu firma decyduje, czy analitycy mogą sami odizolować zaatakowane komputery. CrowdStrike Falcon Complete Next-Gen MDR obejmuje całodobową ochronę komputerów, kont użytkowników i zasobów w chmurze. Analitycy CrowdStrike nie tylko wykrywają zagrożenia, ale też usuwają skutki ataku.

FAQ

Czy warto zapłacić okup?

Dane pokazują, że zapłata nie kończy sprawy. Koszty odbudowy firma ponosi i tak, a skradzionych danych okup nie odzyska. Najważniejsze jest więc to, czy firma ma kopię zapasową, która przetrwała atak – w badaniu z 2026 r. to właśnie z backupu dane odtwarzano najczęściej.

Ile wynosi okup?

Zależy od wielkości firmy. W organizacjach z przychodem poniżej 50 mln USD mediana żądania wyniosła ok. 140 tys. USD, a mediana zapłaty 50 tys. USD. W firmach z przychodem powyżej 5 mld USD mediana żądania sięgała 5,7 mln USD (Sophos 2026).

Czy zapłata chroni przed publikacją skradzionych danych?

Nie. Poradnik gov.pl przypomina, że zapłacenie okupu nie gwarantuje, że dane nie zostaną upublicznione.

Ile trwa powrót do działania po ataku?

Według Sophos 2026 55% organizacji w pełni odbudowało się w ciągu tygodnia, a 16% w mniej niż dobę. Dużo zależy od tego, czy firma ma sprawdzone i przetestowane rozwiązanie do backupu.

Nie masz pewności, czy Twoja kopia zapasowa przetrwałaby atak ransomware? Umów się na indywidualną prezentację rozwiązań do backupu.

Źródła

Sophos, The State of Ransomware 2026
CrowdStrike, State of Ransomware Survey 2025
ESET Threat Report H2 2025
gov.pl, Ransomware – jedno z najpoważniejszych zagrożeń w cyberprzestrzeni
Dokumentacja Xopero, WatchGuard i CrowdStrike

Autor artykułu

Agnieszka Kamieńska

Marketing Specialist

Oceń blog:

Czas czytania: 8 min

Data: 22.10.2026

Terminarz

Lista najbliższych webinariów

23.10.2026

10:00 Darmowy warsztat ESET: Nowości w platformie ESET. Co warto wdrożyć jesienią?

Darmowy warsztat ESET: Nowości w platformie ESET. Co warto wdrożyć jesienią?

23.10.2026

10:00 ESET PROTECT Elite - zarządzanie ochroną, podatnościami oraz incydentami z wykorzystaniem XDR

ESET PROTECT Elite - zarządzanie ochroną, podatnościami oraz incydentami z wykorzystaniem XDR

28.10.2026

10:00 Konferencja cyberbezpieczeństwa | Władcy Sieci 2026

Konferencja cyberbezpieczeństwa | Władcy Sieci 2026

17.11.2026

09:00 Szkolenie Ansible z Windows i Active Directory

Szkolenie Ansible z Windows i Active Directory

19.11.2026

09:00 Szkolenie Ansible – automatyzacja infrastruktury IT bez agentów (2 dni)

Szkolenie Ansible – automatyzacja infrastruktury IT bez agentów (2 dni)

Chcesz wiedzieć więcej? Zapisz się na Newsletter i otrzymuj najnowsze informacje

Zobacz inne wpisy

Wiedza i świadomość na temat aktualnych cyberzagrożeń to podstawa dobrej taktyki bezpieczeństwa. Chcesz być na bieżąco z wydarzeniami ze świata cybersecurity? A może szukasz wskazówek jak zapewnić wyższy poziom cyberbezpieczeństwa w swojej firmie? Chcesz poznać topowe rozwiązania? Dobrze trafiłeś.

zobacz wszystkie wpisy