Cisco Talos zveřejnil svou zprávu o trendech v oblasti incident response (IR) za Q3 2026 a hlavní zjištění stojí za pochopení, i když nikdy nepracujete v bezpečnostním týmu. Phishing zůstal přední technikou počátečního přístupu, podíl ransomware a pre-ransomware případů vzrostl a finance a veřejná správa se dělily o první místo mezi nejčastěji cílenými odvětvími. Zpráva také upozorňuje na útočníky, kteří se vydávají za IT help desk při vishing (hlasových phishingových) útocích. Tento příspěvek vysvětluje, co to znamená jednoduše, a jak se chránit před trendy IR Q3 2026 od Talos, které začínají telefonním hovorem.

Co zjistila zpráva Talos Q3 2026

Zdrojový materiál poskytuje stručné shrnutí čtvrtletí:

  • Phishing zůstal na vrcholu. Zůstal předním způsobem, jakým útočníci získali svůj první opěrný bod.
  • Podíl ransomware vzrostl. Procento ransomware a pre-ransomware případů se zvýšilo ve srovnání s předchozím obdobím, které zpráva pokrývá.
  • Dvě odvětví se dělila o první místo. Finance a veřejná správa byly nejčastěji cílenými odvětvími.
  • Vydávání se za help desk. Aktéři se vydávali za IT help desk při vishing útocích.

„Pre-ransomware“ je zde důležitý. Jde o případy, kdy respondéři našli útočníky uvnitř sítě ještě předtím, než byl samotný ransomware nasazen. To naznačuje, že mnoho intrusí je zachyceno, nebo alespoň rozpoznáno, během fáze přípravy, kdy rychlá akce může stále omezit škody.

Jak funguje vishing s vydáváním se za help desk

Vishing je phishing hlasem. Místo podezřelého odkazu v e-mailu útočník volá (nebo někdy posílá zprávy) a tvrdí, že je z IT podpory. Nabídka je obvykle postavena na naléhavosti a rutině: problém s vaším účtem, bezpečnostní upozornění, heslo, které je třeba resetovat, nebo softwarová aktualizace, která musí být nainstalována.

To funguje, protože lidé jsou podmíněni spolupracovat s podpůrným personálem. Přátelský, sebevědomý volající, který zná jméno nebo pracovní pozici, může znít věrohodně. Cílem je obvykle přimět vás udělat jednu z několika věcí:

  • Prozradit heslo nebo jednorázový vícefaktorový kód.
  • Schválit přihlašovací výzvu, kterou jste neiniciovali.
  • Nainstalovat software pro vzdálený přístup, aby „technik“ mohl problém vyřešit.
  • Navštívit přesvědčivou, ale falešnou přihlašovací stránku.

Jakmile má útočník relaci nebo přihlašovací údaje, které vypadají legitimně, může se tiše pohybovat systémy. To je přesně ten typ opěrného bodu, který se později může změnit v ransomware incident. Shrnutí od Talos nepopisuje každý krok těchto útoků, takže praktická lekce se týká prvního okamžiku: samotného hovoru.

Jak ověřit volajícího z IT

Nejbezpečnějším zvykem je považovat jakoukoli neočekávanou žádost o přihlašovací údaje, kódy nebo vzdálený přístup za neověřenou, dokud neprokážete opak. Pomáhá několik jednoduchých kroků:

  1. Zavěste a zavolejte zpět. Použijte číslo z firemního adresáře, oficiálního webu nebo z minulé faktury, nikdy ne to, které vám dá volající.
  2. Nikdy nesdílejte kódy. Legitimní podpůrný personál nepotřebuje vaše heslo ani váš vícefaktorový kód.
  3. Neinstalujte software na žádost. Nástroje pro vzdálený přístup by měly být použity pouze tehdy, když jste žádost o podporu iniciovali sami.
  4. Zpomalte. Tlak a naléhavost jsou hlavními nástroji sociálního inženýrství. Skutečný problém tu bude i poté, co jej ověříte.
  5. Nahlaste to. Řekněte svému skutečnému IT týmu nebo bezpečnostnímu kontaktu o pokusu, i když jste mu nepodlehli. Ostatní mohou dostávat stejný hovor.

Pokud pracujete někde s interním systémem ticketů, dobrým pravidlem je, že skutečný kontakt s help deskem by měl být dohledatelný k ticketu, který jste otevřeli nebo o kterém víte.

Co to znamená pro vás

Zpráva je založena na incident response zakázkách s organizacemi, ale taktiky se uplatňují daleko za kanceláří. Mnoho lidí používá pracovní zařízení doma, spravuje malé podniky z domácí sítě nebo znovu používá stejné účty v osobním i profesním životě. Kompromitovaný účet v práci může odhalit osobní data a úspěšný telefonní podvod doma může předat stejné druhy přihlašovacích údajů.

Rostoucí podíl ransomware je připomínkou, že raná stádia kompromitace si zaslouží pozornost. Pokud se po hovoru něco zdá být špatně, například výzva, kterou jste neočekávali, nebo software, který jste neměli v úmyslu nainstalovat, jednejte rychle. Změňte postižená hesla z čistého zařízení, odhlaste se z aktivních relací a informujte svůj IT kontakt.

Telefonní a síťová bezpečnost také souvisí s širšími návyky v oblasti soukromí. Pro kontext o tom, jak mohou být konektivita a monitorování v národním měřítku křehké, viz naše pokrytí íránského rekordního 1 000hodinového výpadku internetu. Jde o jiný typ události, ale ukazuje, proč je důležité rozumět tomu, kdo kontroluje a může pozorovat vaše připojení.

Praktické takeaways

  • Považujte neočekávané hovory z IT za neověřené a zavolejte zpět na důvěryhodné číslo.
  • Nikdy nečtěte nahlas hesla ani vícefaktorové kódy a nikdy neschvalujte výzvy, které jste nespustili.
  • Instalujte nástroje vzdálené podpory pouze tehdy, když jste žádost iniciovali vy.
  • Zapněte vícefaktorovou autentizaci a udržujte software a zálohy aktuální, protože případy ransomware tvoří rostoucí podíl incidentů.
  • Nahlaste podezřelé hovory rychle, aby obránci mohli zachytit pre-ransomware aktivitu včas.

Trendy IR Q3 2026 od Talos jsou jasným signálem: útočníci se stále spoléhají na lidi více než na exotické exploity. Krátká pauza a zpětné zavolání na ověřené číslo zůstávají mezi nejúčinnějšími obranami proti vishingu na help desk.