You have almost certainly read that 60% of small businesses close within six months of a cyberattack.
It appears everywhere. News outlets, vendor pages, government talks, conference slides.
There is one problem with it.
It is not true, and the organisation usually credited with it has publicly said so.
The National Cybersecurity Alliance issued a statement confirming the figure did not come from their research and that they cannot verify its source (National Cybersecurity Alliance, 2026).
So let us look at what the real numbers say instead. 🛡️
🎁 Compare Backup and Security Trials →
🧾 Ĉefaj Trovoj Unuavide
| Mezuro | Figuro | Fonto |
|---|---|---|
| The famous “60% close” figure | Unverified, disavowed | National Cybersecurity Alliance (2026) |
| SMBs going out of business after an attack | About 19% | Mastercard survey, cited 2026 |
| Cyberattacks aimed at SMBs | About 43% | Astra (2026) |
| Ransomware present in SMB breaches | 88% | Verizon DBIR (2025) |
| Same figure at large organisations | 39% | Verizon DBIR (2025) |
| Average ransomware downtime | About 24 days | Huntress (2026) |
| Recovery cost, excluding ransom | $1.53 million average | Huntress (2026) |
| Typical small business range | $120,000 to $1.24 million | SQ Magazine (2026) |
🧟 The Statistic That Refuses to Die
This deserves proper attention, because it shapes how people think about the whole topic.
The 60% claim first appeared around 2011.
It has been repeated for roughly fifteen years without anyone producing the underlying study.
What the NCSA actually said
The National Cybersecurity Alliance is the body most often credited with the figure.
They published a statement noting the statistic was not generated from their research.
They also confirmed they cannot verify its original source.
They stopped using it in their own materials.
Why it spread so effectively
It is memorable, alarming and useful to anyone selling security products.
Each retelling cited the previous one rather than any primary source.
After enough repetitions, it looked like established fact.
📊 The myth against the measured figure
What the real number appears to be
A Mastercard survey covered more than 5,000 small business owners. Almost one in five who suffered an attack went out of business.
That is roughly 19%, not 60%.
Still serious. Still a fifth of affected businesses. But a third of the claim.
Why the correction matters
Inflated statistics do not make people safer.
They make the problem feel unsurvivable, which encourages fatalism rather than action.
And when someone discovers one figure was invented, they discount the accurate ones too.
🎯 Why Small Businesses Are Targeted
The genuine finding here is stark, and better evidenced than the myth.
Ransomware was present in 88% of breaches at small and mid-sized businesses (Verizon, 2025).
At large organisations the figure was 39%.
More than double the rate.
📊 Ransomware present in breaches, by organisation size
Why the gap exists
Large organisations have security teams, tested backups and incident plans.
They still get attacked, but ransomware succeeds less often.
Small businesses are not attacked more because they are chosen. They are attacked more because attacks succeed.
The automation point
Most ransomware is not targeted at a specific company.
Automated tools scan for known weaknesses across the whole internet.
Being small does not make you invisible. It often makes you easier.
⏱️ What an Attack Actually Costs
The financial figures are wide, and the reason is worth knowing.
| Cost element | Typical scale |
|---|---|
| Downtime | Around 24 days on average |
| Recovery excluding ransom | $1.53 million average |
| Small business range | $120,000 to $1.24 million |
| Ransom itself | Highly variable, often not the largest cost |
| Lost customers | Runs long after recovery |
Note that the ransom is rarely the biggest line.
Twenty-four days of downtime destroys more value than most ransom demands.
Why downtime dominates
A business that cannot invoice, deliver or answer customers for three weeks is in serious trouble.
Staff still get paid. Rent still falls due.
Revenue stops while costs continue, and that gap is what closes companies.
The range tells you something
$120,000 to $1.24 million is an enormous spread.
The difference is almost entirely preparation.
Businesses with tested backups recover in days. Those without recover in weeks or never.
📊 Where the Money Actually Goes
Splitting the cost shows why preparation changes the outcome so much.
🥧 Typical ransomware cost breakdown
Notice how small the ransom slice is.
Most of the damage happens while the business cannot operate.
Why that changes what to spend on
If downtime is the main cost, the main defence is fast recovery.
That means tested backups, not just more prevention tools.
A business that restores in two days avoids most of the loss (SQ Magazine, 2026).
The sectors that suffer longest
Recovery times vary widely by industry.
Manufacturing tends to be slowest, because physical processes stop.
Financial firms recover fastest, largely because they rehearse it (Huntress, 2026).
💾 Why Backups Are the Whole Game
Ransomware works by making your data unavailable.
A working backup makes that threat far weaker.
But most backup setups fail at the moment they are needed.
| Common failure | Why it happens |
|---|---|
| Backup was never tested | Nobody tried restoring |
| Backup drive was connected | Encrypted along with everything else |
| Backup stopped months ago | Failure alerts ignored |
| Only some data covered | Nobody audited what was included |
| Restore takes too long | Technically works, practically useless |
The second row catches many businesses.
A backup drive left plugged in gets encrypted with the rest.
The rule that works
Keep at least one backup copy disconnected or immutable.
Cloud backups with versioning handle this well, since older versions survive.
The principle is simple: ransomware should not be able to reach every copy.
Test the restore, not the backup
This is the step nearly everyone skips.
A backup that runs successfully is not proof you can recover.
Restore a few real files, quarterly. It takes fifteen minutes.
Keep one backup off the domain
Attackers who gain administrator access often target backup systems first.
A backup managed by the same credentials as everything else can be deleted with everything else.
At least one copy should be outside that control, with separate credentials.
Know your restore time
Ask how long a full restore would actually take.
If the answer is a week, that is a week of downtime you have already accepted.
Nia breach cost analysis covers why time dominates every cost calculation.
🚪 How Ransomware Gets In
The entry routes are unglamorous and mostly preventable.
| Itinero | Preventado |
|---|---|
| Stolen or reused credentials | Multi-factor sign-in |
| Phishing email | Staff awareness, email filtering |
| Unpatched software | Automatic updates |
| Exposed remote access | Close it or put it behind MFA |
| Compromised supplier | Harder — ask about their security |
Four of five are addressable without much budget.
Nia password research shows MFA cut account compromise by over 99%.
Remote access is the quiet one
Many small businesses expose remote desktop access to the internet.
It is convenient, and automated scanners find it within hours.
If you need remote access, it should sit behind MFA at minimum.
Updates matter more than antivirus
Most successful attacks use weaknesses that were already patched.
The patch existed. Nobody applied it.
Automatic updates are free and prevent more than most paid products.
💸 The Ransom Question
If it happens, should you pay? The honest answer is layered.
Law enforcement generally advises against it.
Payment funds further attacks and marks you as willing to pay.
What payment does not buy
It buys a decryption tool, from a criminal, with no guarantee.
Recovery after payment is often partial and slow.
And modern attacks steal data before encrypting, so payment does not prevent publication.
Why that last point changed everything
Ransomware used to be about locking files.
Now a large share of attacks also threaten to publish stolen data.
Backups solve the encryption problem but not the publication problem.
La praktika implico
Preventado gravas pli ol antaŭe, ĉar resaniĝo faras malpli ol antaŭe.
A perfect backup no longer makes you immune, only resilient.
🧾 Which Small Businesses Get Hit Hardest
Exposure is not evenly spread, and the pattern is predictable.
| Faktoro | Raises risk? | Kial |
|---|---|---|
| Holding customer payment data | Jes | Higher value to attackers |
| Remote access exposed online | Jes | Found by automated scanners |
| Older unsupported software | Yes, strongly | Known weaknesses never patched |
| Supplier to larger firms | Jes | A route into bigger targets |
| No dedicated IT support | Jes | Nobody watching for signs |
| Regulated sector | Cost, not likelihood | Fines and notification duties |
The supplier row deserves attention, because it surprises people.
A small firm can be attacked as a route into its largest customer.
That is why big companies increasingly ask suppliers about their security.
The unsupported software problem
Software past end of life stops receiving fixes entirely.
Every weakness found after that date stays open permanently.
Automated scanners specifically look for these versions (Astra, 2026).
Being a supplier changes your obligations
Larger customers may require evidence of controls before renewing contracts.
That turns security from a cost into a condition of trading.
Many small firms first take it seriously when a customer asks.
📋 What a Small Business Should Actually Do
Ranked by protection per pound spent.
| Ago | Kosto | Effect |
|---|---|---|
| MFA on email and remote access | Senpaga | Blocks the most common entry |
| Automatic updates everywhere | Senpaga | Closes known weaknesses |
| One offline or immutable backup | Malalta | Survives encryption |
| Quarterly restore test | 15 minutoj | Proves the backup works |
| Close unused remote access | Senpaga | Removes a scanned target |
| Unu-paĝa okazaĵa plano | An hour | Saves days of confusion |
Four of six cost nothing at all.
La interspaco inter pretaj kaj nepreparitaj entreprenoj estas plejparte atento, ne buĝeto.
La okazaĵplanon, kiun neniu verkas
Tri demandoj sur unu paĝo. Kiu decidas? Kiu vokas la asekuriston aŭ advokaton? Kiu diras al klientoj?
Decidi tion dum okazaĵo kostas tagojn.
Anticipe decidi ĝin kostas unu horon.
Trejnu personaron pri unu afero, ne ĉio
Trejnado pri sekureca konscio ofte provas kovri tro multe kaj alteriĝas nenie.
Elektu la ununuran konduton, kiu plej gravas: raportu ion suspektindan tuj, sen kulpigo.
Plej multaj okazaĵoj estas rimarkitaj de ordinara dungito antaŭ ol iu sistemo markas ilin.
Se homoj timas esti kulpigitaj, ili restas kvietaj, kaj horoj estas perditaj.
Ciberasekuro, mallonge
Politikoj ĉiam pli postulas MFA kaj provitajn sekurkopiojn antaŭ ol pagi.
Legu tiujn kondiĉojn antaŭ supozi, ke vi estas kovrita.
Asekuristo povas malakcepti se la postulataj kontroloj ne estis modloko.
🚨 La Unua Horo, Se Ĝi Okazas
Plej multe de la damaĝo en la frua etapo venas de paniko prefere ol la atako mem.
Koni la sinsekvon anticipe valoras pli ol iu ajn ilo.
| Order | Ago | Kial |
|---|---|---|
| 1 | Malkonektu tuŝitajn maŝinojn de la reto | Haltoj disvastiĝis |
| 2 | Ne malŝaltu ilin | Konservas pruvojn en memoro |
| 3 | Kontrolu ĉu sekurkopioj estas atingeblaj | Determinas viajn elektojn |
| 4 | Sciigu asekuriston kaj leĝan kontakton | Politikoj ofte postulas fruan avizon |
| 5 | Komencu skribitan templinion | Reguligistoj demandos |
| 6 | Decidu kiu parolas al klientoj | Malhelpas miksitajn mesaĝojn |
Dua vico estas kontraŭintuicia kaj ofte eraris.
Malŝalti maŝinon detruas indicon kiu helpas al enketistoj kompreni kio okazis.
Kial la asekuristo venas frue
Multaj politikoj postulas sciigon en mallonga fenestro.
Iuj ankaŭ postulas, ke vi uzu siajn aprobitajn respondantojn.
Unue voki vian propran specialiston povas endanĝerigi la aserton.
La sciiga horloĝo
Se personaj datumoj estis implikitaj, regulistoj ofte postulas raportadon ene de 72 horoj post malkovro.
Tiu horloĝo komenciĝas kiam vi ekscias, ne kiam vi finas esplori.
Nia breach cost analysis kovras kiel kostas tiuj tempodiskoj.
Skribu ĝin dum vi iras
Memoro degradas rapide dum okazaĵo.
Simpla tempostampita protokolo respondas plej postajn demandojn de asekuristoj kaj reguligistoj.
Ĝi kostas nenion kaj preskaŭ neniam estas farita.
🔬 How Reliable Is This Data?
| Fonto | Forto | Caveat |
|---|---|---|
| Verizon DBIR | Longdaŭra, konsekvenca metodo | Reported incidents only |
| Enketo de Mastercard SMB | 5,000+ owners | Self-reported |
| Sekurecaj vendistaj statistikoj | Praktika detalo | They sell the solution |
| La aserto de 60% fermo | Neniu | Malkonfesita fare de NCSA |
Tiu malsupra vico estas la leciono de ĉi tiu artikolo.
Kiel kontroli timigan statistikon
Spuru ĝin ĝis vi atingos organizon, kiu kolektis datumojn.
Se ĉiu citaĵo montras al alia artikolo, vi trovis onidiron.
Statistiko sen ĉeffonto ne estas statistiko.
Kial subkalkulo estas probable ankaŭ
Multaj malgrandaj entreprenoj neniam raportas atakojn.
Ili pagas trankvile, aŭ resaniĝas sen diri al iu ajn.
Do realaj atakaj indicoj estas verŝajne pli altaj ol raportitaj ciferoj, eĉ kiam fermotarifoj estas pli malaltaj ol asertite.
🧯 Kial "Ni Estas Tro Malgrandaj por Celi" Malĝustas
Ĉi tiu kredo estas la plej ofta kialo, ke malgrandaj entreprenoj faras nenion.
Ĝi baziĝas sur miskompreno pri kiel atakoj efektive funkcias.
Neniu elektis vin
Plej multaj ransomware alvenas per aŭtomata skanado, ne elekto.
Iloj balaas la interreton serĉante elmontritajn servojn kaj konatajn malfortojn.
La atakanto ofte lernas, kiu vi estas, nur post eniro.
Malgranda ne signifas malmultekosta ataki
Aŭtomatigo forigis la koston de provi.
Skani milionon da adresoj kostas apenaŭ pli ol skani cent.
Do ne ekzistas ekonomia kialo por salti malgrandajn celojn.
Kio fakte malhelpas aŭtomatan atakon
Ne obskureco. Nur estante pli malfacila ol la sekva rezulto en la listo.
Flikita programaro, MFA kaj neniu elmontrita fora aliro kutime sufiĉas.
Ĉi tiuj atakoj persekutas la plej facilan disponeblan celon, ne la plej valoran.
La 43% figuro en kunteksto
Ĉirkaŭ 43% de ciberatakoj celas malgrandajn kaj mezgrandajn entreprenojn (Astra, 2026).
Tio estas proksima al duono de ĉiuj atakoj trafantaj la segmenton malplej preparitan por ili.
Obskureco neniun protektis dum almenaŭ jardeko.
🚫 Kion Ĉi Tiuj Datumoj Ne Diras al Vi
Ĝi ne antaŭdiras vian riskon. Sektoro kaj ekspozicio varias ege.
Enketaj datumoj estas mem-raportitaj. Posedantoj povas mismemori kaŭzojn.
Neraportitaj atakoj estas nevideblaj. La vera indico verŝajne estas pli alta.
Kostaj gamoj estas ekstreme larĝaj. Preparo kondukas la plej grandan parton de la diferenco.
Multaj esploroj estas eldonitaj de vendisto. Timo subtenas vendojn.
🏁 La Mallonga Versio
La fama asertas, ke 60% de malgrandaj entreprenoj fermiĝas post atako ne havas kontroleblan fonton. La organizo kreditita je ĝi diris tion (Nacia Cybersecurity Alliance, 2026).
La mezurita cifero estas pli proksima al 19%, de enketo de pli ol 5,000 posedantoj.
La vera trovo estas, ke ransomware aperas en 88% de SMB-rompoj, kontraŭ 39% ĉe grandaj organizoj. (Verizon, 2025).
Malgrandaj entreprenoj ne estas celitaj pli. Atakoj kontraŭ ili sukcesas pli.
Meza malfunkcio daŭros ĉirkaŭ 24 tagoj, kaj malfunkcio kostas pli ol plej multaj elaĉetomonoj.
Kvar el la ses plej efikaj protektoj estas senpagaj: MFA, ĝisdatigoj, ferma aliro kaj skriba plano.
La kvina estas unu rezerva kopio kiun ransomware ne povas atingi. Provu restarigi ĝin.
Kaj traktu la miton ĉe la supro de ĉi tiu artikolo kiel lecionon en si mem.
Timiga nombro ripetita dum dek kvin jaroj montriĝis sen studo malantaŭ ĝi.
Antaŭ ol agi pri ia alarma statistiko, spuru ĝin al tiu, kiu kolektis la datumojn.
Se ĉiu citaĵo montras al alia artikolo, vi trovis onidiron prefere ol trovon. 🛡️
🚀 Foliumi Rezervajn kaj Sekurecajn Provojn →
❓ Oftaj Demandoj
Do 60% of small businesses really close after a cyberattack?
No. The National Cybersecurity Alliance has stated the figure did not come from their research and cannot be verified. Survey data puts it nearer 19%.
Why is that number everywhere then?
It is memorable, alarming and useful to anyone selling security products. Each retelling cited the previous one rather than a study.
Are small businesses really targeted more?
Ransomware appears in 88% of SMB breaches against 39% at large organisations. The difference is that attacks succeed more often, not that attackers choose them.
How long does recovery take?
Average ransomware downtime is around 24 days, though prepared businesses recover far faster.
What does an attack cost a small business?
Typically $120,000 to $1.24 million. Downtime usually costs more than the ransom itself.
Should we pay the ransom?
Law enforcement advises against it. Payment buys a tool from a criminal with no guarantee, and does not stop stolen data being published.
What is the cheapest effective protection?
Multi-factor sign-in on email and remote access. It is free and blocks the most common entry route.
Why do backups fail when needed?
Usually because nobody tested a restore, or the backup drive was connected and got encrypted too.
Are we too small to be a target?
No. Most ransomware arrives through automated scanning rather than selection, and around 43% of attacks hit small and mid-sized businesses (Astra, 2026).
What should we do in the first hour?
Disconnect affected machines from the network but do not power them off, since that destroys evidence. Then check backups and notify your insurer.
Why does downtime cost more than the ransom?
Average downtime runs around 24 days. Revenue stops while wages and rent continue, and that gap is what closes businesses.
Does being a supplier increase our risk?
Yes. Small firms are attacked as a route into larger customers, which is why big companies now ask suppliers about their security.
Does cyber insurance cover this?
Increasingly only if you had MFA and tested backups in place. Read the conditions before assuming cover.
📚 Referencoj
Nacia Cibersekureco-Alianco. (2026). Deklaro pri malĝusta statistiko pri malgranda komercoPrenite la 8-an de aŭgusto 2026, de https://www.staysafeonline.org/press/national-cyber-security-alliance-statement-regarding-incorrect-small-business-statistic
Verizon. (2025). Data breach investigations report, citita en Huntress ransomware statistiko. Prenite la 8-an de aŭgusto 2026, de https://www.huntress.com/ransomware-guide/ransomware-attack-statistics
Astra. (2026). Malgrandaj komercaj ciberatakoj statistikojPrenite la 8-an de aŭgusto 2026, de https://www.getastra.com/blog/security-audit/small-business-cyber-attack-statistics/
SQ Revuo. (2026). Statistikoj pri cibersekureco de malgrandaj komercaj: minacoj kaj kostojPrenite la 8-an de aŭgusto 2026, de https://sqmagazine.co.uk/small-business-cybersecurity-statistics/
SC Mondo. (2026). Plej multaj malgrandaj entreprenoj postvivas datumrompojnPrenite la 8-an de aŭgusto 2026, de https://www.scworld.com/news/most-small-businesses-survive-data-breaches-heres-how-to-make-sure-yours-does-too
Rilata legado en ĉi tiu retejo
Nia pasvorto kaj MFA-esplorado kovras la plej oftan enirvojon detale. Vidu ankaŭ nian breach cost analysis por kio sekvas okazaĵon, kaj la Senpaga Provo Insider-adresaro por rezervo kaj sekurecaj provoj.
Pri ĉi tiu analizo
Ĉi tiu artikolo korektas statistikon ripetitan tra plej konkuranta priraportado, uzante la malkonfeson publikigitan de la organizo kutime kreditita kun ĝi. Kie precizaj figuroj ekzistas ili estas uzitaj anstataŭe, kun siaj fontoj nomitaj. Multe da esplorado en ĉi tiu kategorio estas publikigita de sekurecaj vendistoj, kie timo subtenas vendojn, kaj tio estas deklarita prefere ol kaŝita. Ciferoj estis kontrolitaj la 8-an de aŭgusto 2026.
- Open Rate Benchmarks After Privacy Changes - Oktobro 9, 2026
- Email Marketing ROI: Separating Claim From Evidence - Oktobro 6, 2026
- Free AI Tools for YouTube: The Stack That Costs Nothing - Oktobro 6, 2026