Cisco Talos har offentliggjort sin rapport om incident response (IR)-trends for Q3 2026, og de mest markante fund er værd at forstå, selv hvis du aldrig arbejder i et sikkerhedsteam. Phishing var fortsat den førende teknik til indledende adgang, andelen af ransomware- og præ-ransomware-sager steg, og finanssektoren og offentlig forvaltning delte førstepladsen som de mest udsatte brancher. Rapporten fremhæver også angribere, der udgiver sig for at være IT-helpdesks i vishing-angreb (stemme-phishing). Dette indlæg forklarer, hvad det betyder i klare vendinger, og hvordan du beskytter dig selv mod Talos Q3 2026 IR-trends, der starter med et telefonopkald.

Hvad Talos Q3 2026-rapporten fandt

Kildematerialet giver et kortfattet resumé af kvartalet:

  • Phishing forblev på toppen. Det var fortsat den førende måde, hvorpå angribere fik deres første fodfæste.
  • Ransomware-andelen voksede. Procentdelen af ransomware- og præ-ransomware-sager steg sammenlignet med den foregående periode, som rapporten dækker.
  • To sektorer delte førstepladsen. Finanssektoren og offentlig forvaltning var de mest udsatte brancher.
  • Helpdesk-efterligning. Aktører udgav sig for at være IT-helpdesks i vishing-angreb.

"Præ-ransomware" er vigtigt her. Det er sager, hvor respondere fandt angribere inde i et netværk, før selve ransomwaren blev udrullet. Det tyder på, at mange indtrængninger bliver opdaget, eller i det mindste genkendt, i klargøringsfasen, hvor hurtig handling stadig kan begrænse skaden.

Sådan fungerer vishing med helpdesk-efterligning

Vishing er phishing via stemme. I stedet for et mistænkeligt link i en e-mail ringer angriberen (eller sender nogle gange en besked) og hævder at være fra IT-support. Fremgangsmåden er typisk bygget op omkring hastværk og rutine: et problem med din konto, en sikkerhedsadvarsel, en adgangskode der skal nulstilles, eller en softwareopdatering der skal installeres.

Det virker, fordi folk er vant til at samarbejde med supportpersonale. En venlig, selvsikker opringning, der kender et navn eller en jobtitel, kan lyde troværdig. Målet er typisk at få dig til at gøre en af få ting:

  • Afsløre en adgangskode eller en engangskode til multifaktor.
  • Godkende en login-anmodning, du ikke selv har startet.
  • Installere fjernadgangssoftware, så "teknikeren" kan løse problemet.
  • Besøge en overbevisende, men falsk login-side.

Når en angriber først har en legitimt udseende session eller legitimationsoplysninger, kan de bevæge sig ubemærket gennem systemerne. Det er præcis den slags fodfæste, der senere kan udvikle sig til en ransomware-hændelse. Talos-resuméet beskriver ikke hvert eneste skridt i disse angreb, så den praktiske lære handler om det første øjeblik: selve opkaldet.

Sådan verificerer du en IT-opringning

Den sikreste vane er at behandle enhver uventet anmodning om legitimationsoplysninger, koder eller fjernadgang som uverificeret, indtil du har bevist det modsatte. Et par enkle skridt hjælper:

  1. Læg på og ring tilbage. Brug et nummer fra din virksomheds fortegnelse, en officiel hjemmeside eller en tidligere faktura, aldrig et nummer, opringeren giver dig.
  2. Del aldrig koder. Legitimt supportpersonale har ikke brug for din adgangskode eller din multifaktor-kode.
  3. Installer ikke software på anmodning. Værktøjer til fjernadgang bør kun bruges, når du selv har startet supportanmodningen.
  4. Sæt tempoet ned. Pres og hastværk er social engineeringens vigtigste værktøjer. Et reelt problem vil stadig være der, efter du har verificeret.
  5. Rapportér det. Fortæl dit faktiske IT-team eller sikkerhedskontakt om forsøget, selv hvis du ikke faldt for det. Andre kan få det samme opkald.

Hvis du arbejder et sted med et internt ticketsystem, er en god tommelfingerregel, at reel helpdesk-kontakt bør kunne spores til en sag, du har oprettet eller kender til.

Hvad det betyder for dig

Rapporten er baseret på incident response-engagementer med organisationer, men taktikkerne gælder langt ud over kontoret. Mange mennesker bruger arbejdsenheder derhjemme, driver små virksomheder fra et hjemmenetværk eller genbruger de samme konti på tværs af privatliv og arbejdsliv. En kompromitteret konto på arbejdet kan eksponere personlige data, og et vellykket telefonsvindelnummer derhjemme kan udlevere de samme slags legitimationsoplysninger.

Den stigende ransomware-andel er en påmindelse om, at kompromitteringer i tidlige faser fortjener opmærksomhed. Hvis noget føles forkert efter et opkald, såsom en prompt, du ikke forventede, eller software, du ikke havde til hensigt at installere, så handl hurtigt. Skift berørte adgangskoder fra en ren enhed, log ud af aktive sessioner, og underret din IT-kontakt.

Telefon- og netværkssikkerhed hænger også sammen med bredere privatlivsvaner. For kontekst om, hvor skrøbelig forbindelse og overvågning kan blive i national skala, se vores dækning af Irans rekordstore 1.000-timers internetnedlukning. Det er en anden type hændelse, men den viser, hvorfor det er vigtigt at forstå, hvem der kontrollerer og kan observere dine forbindelser.

Handlingsorienterede pointer

  • Behandl uventede IT-opkald som uverificerede, og ring tilbage via et betroet nummer.
  • Læs aldrig adgangskoder eller multifaktor-koder højt, og godkend aldrig prompts, du ikke selv har udløst.
  • Installer kun fjernsupportværktøjer, når du selv har startet anmodningen.
  • Aktivér multifaktor-godkendelse, og hold software og backups opdaterede, da ransomware-sager udgør en voksende andel af hændelserne.
  • Rapportér mistænkelige opkald hurtigt, så forsvarere tidligt kan fange præ-ransomware-aktivitet.

Talos Q3 2026 IR-trends er et klart signal: angribere er stadig mere afhængige af mennesker end af eksotiske exploits. En kort pause og et tilbagekald til et verificeret nummer er fortsat blandt de mest effektive forsvar mod helpdesk-vishing.