Cisco Talos публикува своя доклад за тенденциите в реагирането при инциденти (IR) за Q3 2026 и основните констатации си заслужава да бъдат разбрани, дори ако никога не работите в екип по сигурност. Фишингът остана водещата техника за първоначален достъп, делът на случаите с рансъмуер и пре-рансъмуер се увеличи, а финансите и публичната администрация се изравниха като най-атакуваните индустрии. Докладът също така подчертава атакуващи, които се представят за IT help desk в атаки с вишинг (гласов фишинг). Тази публикация обяснява какво означава това с прости думи и как да се защитите от тенденциите в IR за Q3 2026 на Talos, които започват с телефонно обаждане.

Какво установи докладът на Talos за Q3 2026

Изходният материал дава кратко резюме на тримесечието:

  • Фишингът остана на върха. Той остана водещият начин, по който атакуващите получават първоначална позиция.
  • Делът на рансъмуера нарасна. Процентът на случаите с рансъмуер и пре-рансъмуер се увеличи в сравнение с предходния период, обхванат от доклада.
  • Два сектора се изравниха за първото място. Финансите и публичната администрация бяха най-атакуваните индустрии.
  • Имитация на help desk. Атакуващи се представяха за IT help desk в атаки с вишинг.

„Пре-рансъмуер“ е важно тук. Това са случаи, в които реагиращите откриват атакуващи вътре в мрежата, преди самият рансъмуер да бъде разгърнат. Това подсказва, че много прониквания са уловени, или поне разпознати, по време на фазата на подготовка, когато бързите действия все още могат да ограничат щетите.

Как работи вишингът с имитация на help desk

Вишингът е фишинг чрез глас. Вместо подозрителен линк в имейл, атакуващият се обажда (или понякога изпраща съобщение) и твърди, че е от IT поддръжката. Сценарият обикновено се гради върху спешност и рутина: проблем с вашия акаунт, сигнал за сигурност, парола, която трябва да бъде нулирана, или софтуерен ъпдейт, който трябва да бъде инсталиран.

Това работи, защото хората са приучени да си сътрудничат с поддържащия персонал. Приятелски настроен, уверен звънящ, който знае име или длъжност, може да звучи достоверно. Целта обикновено е да ви накара да направите едно от няколко неща:

  • Да разкриете парола или еднократен код за многофакторна автентикация.
  • Да одобрите подкана за вход, която не сте инициирали.
  • Да инсталирате софтуер за отдалечен достъп, за да може „техникът“ да отстрани проблема.
  • Да посетите убедителна, но фалшива страница за вход.

След като атакуващият има сесия или идентификационни данни, изглеждащи легитимно, той може да се движи тихо из системите. Точно това е видът позиция, който по-късно може да се превърне в инцидент с рансъмуер. Резюмето на Talos не описва подробно всяка стъпка от тези атаки, така че практическата поука е за първия момент: самото обаждане.

Как да проверите обаждащ се, представящ се за IT

Най-безопасният навик е да третирате всяка неочаквана заявка за идентификационни данни, кодове или отдалечен достъп като непотвърдена, докато не докажете обратното. Няколко прости стъпки помагат:

  1. Затворете и се обадете обратно. Използвайте номер от фирмения указател, официален уебсайт или минала фактура, никога такъв, който обаждащият се ви дава.
  2. Никога не споделяйте кодове. Легитимният поддържащ персонал не се нуждае от вашата парола или вашия код за многофакторна автентикация.
  3. Не инсталирайте софтуер по заявка. Инструментите за отдалечен достъп трябва да се използват само когато вие сами сте започнали заявката за поддръжка.
  4. Забавете. Натискът и спешността са основните инструменти на социалното инженерство. Реален проблем ще си остане там и след като проверите.
  5. Докладвайте. Кажете на действителния си IT екип или контакт по сигурността за опита, дори и да не сте се хванали на въдицата. Други може да получават същото обаждане.

Ако работите някъде с вътрешна система за тикети, добро правило е, че реалният контакт с help desk трябва да бъде проследим до тикет, който сте отворили или за който знаете.

Какво означава това за вас

Докладът се основава на ангажименти за реагиране при инциденти с организации, но тактиките се прилагат далеч отвъд офиса. Много хора използват работни устройства у дома, управляват малки бизнеси от домашна мрежа или използват повторно едни и същи акаунти в личния и професионалния си живот. Компрометиран акаунт на работното място може да изложи лични данни, а успешна телефонна измама у дома може да предаде същите видове идентификационни данни.

Нарастващият дял на рансъмуера е напомняне, че компрометирането в ранните етапи заслужава внимание. Ако след обаждане нещо изглежда нередно, например подкана, която не сте очаквали, или софтуер, който не сте възнамерявали да инсталирате, действайте бързо. Сменете засегнатите пароли от чисто устройство, излезте от активните сесии и уведомете своя IT контакт.

Сигурността на телефона и мрежата също се свързва с по-широки навици за поверителност. За контекст как свързаността и наблюдението могат да станат крехки в национален мащаб вижте нашето отразяване на рекордното 1000-часово спиране на интернет в Иран. Това е различен тип събитие, но показва защо е важно да разбирате кой контролира и може да наблюдава вашите връзки.

Практически изводи

  • Третирайте неочакваните IT обаждания като непотвърдени и се обадете обратно на доверен номер.
  • Никога не четете на глас пароли или кодове за многофакторна автентикация и никога не одобрявайте подкани, които не сте задействали.
  • Инсталирайте инструменти за отдалечена поддръжка само когато вие сте инициирали заявката.
  • Включете многофакторна автентикация и поддържайте софтуера и резервните копия актуални, тъй като случаите с рансъмуер са нарастващ дял от инцидентите.
  • Докладвайте подозрителни обаждания незабавно, за да могат защитниците да уловят активност преди рансъмуер рано.

Тенденциите в IR за Q3 2026 на Talos са ясен сигнал: атакуващите все още разчитат на хората повече, отколкото на екзотични експлойти. Кратка пауза и обратно обаждане на проверен номер остават сред най-ефективните защити срещу вишинг чрез help desk.