Cisco Talos ha publicado su informe sobre las tendencias de respuesta a incidentes (IR) del tercer trimestre de 2026, y sus principales hallazgos merecen ser comprendidos incluso si nunca trabajas en un equipo de seguridad. El phishing siguió siendo la técnica principal de acceso inicial, la proporción de casos de ransomware y pre-ransomware aumentó, y finanzas y administración pública empataron como los sectores más atacados. El informe también destaca a atacantes que se hacen pasar por servicios de ayuda de TI en ataques de vishing (phishing por voz). Esta entrada explica qué significa eso en términos sencillos y cómo protegerte de las tendencias de IR del tercer trimestre de 2026 de Talos que comienzan con una llamada telefónica.

Qué encontró el informe del tercer trimestre de 2026 de Talos

El material de origen ofrece un resumen conciso del trimestre:

  • El phishing se mantuvo a la cabeza. Siguió siendo la principal forma en que los atacantes consiguieron su primer punto de apoyo.
  • La proporción de ransomware creció. El porcentaje de casos de ransomware y pre-ransomware aumentó en comparación con el periodo anterior cubierto por el informe.
  • Dos sectores empataron en el primer puesto. Finanzas y administración pública fueron los sectores más atacados.
  • Suplantación del servicio de ayuda. Los actores se hicieron pasar por servicios de ayuda de TI en ataques de vishing.

"Pre-ransomware" importa aquí. Se trata de casos en los que los respondedores encontraron a los atacantes dentro de una red antes de que se desplegara el propio ransomware. Eso sugiere que muchas intrusiones se detectan, o al menos se reconocen, durante la fase de preparación, cuando una acción rápida aún puede limitar el daño.

Cómo funciona el vishing con suplantación del servicio de ayuda

El vishing es phishing por voz. En lugar de un enlace sospechoso en un correo electrónico, el atacante llama (o a veces envía mensajes) y afirma ser del soporte de TI. El discurso suele construirse sobre la urgencia y la rutina: un problema con tu cuenta, una alerta de seguridad, una contraseña que debe restablecerse o una actualización de software que debe instalarse.

Esto funciona porque las personas están condicionadas a cooperar con el personal de soporte. Un interlocutor amable y seguro de sí mismo que conoce un nombre o un cargo puede sonar creíble. El objetivo suele ser conseguir que hagas una de varias cosas:

  • Revelar una contraseña o un código multifactor de un solo uso.
  • Aprobar una solicitud de inicio de sesión que no iniciaste.
  • Instalar software de acceso remoto para que el "técnico" pueda solucionar el problema.
  • Visitar una página de inicio de sesión falsa pero convincente.

Una vez que un atacante tiene una sesión o credenciales de aspecto legítimo, puede moverse silenciosamente por los sistemas. Ese es exactamente el tipo de punto de apoyo que más tarde puede convertirse en un incidente de ransomware. El resumen de Talos no detalla cada paso de estos ataques, así que la lección práctica trata sobre el primer momento: la llamada en sí.

Cómo verificar a quien llama diciendo ser de TI

El hábito más seguro es tratar cualquier solicitud inesperada de credenciales, códigos o acceso remoto como no verificada hasta que demuestres lo contrario. Unos pocos pasos sencillos ayudan:

  1. Cuelga y vuelve a llamar. Usa un número del directorio de tu empresa, de un sitio web oficial o de una factura anterior; nunca uno que te dé quien llama.
  2. Nunca compartas códigos. El personal de soporte legítimo no necesita tu contraseña ni tu código multifactor.
  3. No instales software a petición. Las herramientas de acceso remoto solo deben usarse cuando tú mismo iniciaste la solicitud de soporte.
  4. Ve más despacio. La presión y la urgencia son las principales herramientas de la ingeniería social. Un problema real seguirá ahí después de que verifiques.
  5. Repórtalo. Informa del intento a tu equipo real de TI o a tu contacto de seguridad, incluso si no caíste en la trampa. Puede que otros estén recibiendo la misma llamada.

Si trabajas en un lugar con un sistema interno de tickets, una buena regla es que el contacto real con el servicio de ayuda debería poder rastrearse hasta un ticket que abriste o del que tienes conocimiento.

Qué significa esto para ti

El informe se basa en intervenciones de respuesta a incidentes con organizaciones, pero las tácticas se aplican mucho más allá de la oficina. Muchas personas usan dispositivos de trabajo en casa, gestionan pequeñas empresas desde una red doméstica o reutilizan las mismas cuentas en la vida personal y profesional. Una cuenta comprometida en el trabajo puede exponer datos personales, y una estafa telefónica exitosa en casa puede entregar el mismo tipo de credenciales.

El aumento de la proporción de ransomware es un recordatorio de que las compromisiones en etapas tempranas merecen atención. Si algo parece raro después de una llamada, como una solicitud que no esperabas o software que no tenías intención de instalar, actúa rápido. Cambia las contraseñas afectadas desde un dispositivo limpio, cierra las sesiones activas y notifica a tu contacto de TI.

La seguridad telefónica y de red también se conecta con hábitos de privacidad más amplios. Para tener contexto sobre lo frágil que puede volverse la conectividad y la monitorización a escala nacional, consulta nuestra cobertura sobre el apagón de internet récord de 1.000 horas de Irán. Es un tipo de evento diferente, pero muestra por qué importa entender quién controla y puede observar tus conexiones.

Conclusiones prácticas

  • Trata las llamadas inesperadas de TI como no verificadas y vuelve a llamar usando un número de confianza.
  • Nunca leas en voz alta contraseñas ni códigos multifactor, y nunca apruebes solicitudes que no hayas activado tú.
  • Instala herramientas de soporte remoto solo cuando tú hayas iniciado la solicitud.
  • Habilita la autenticación multifactor y mantén actualizados el software y las copias de seguridad, ya que los casos de ransomware representan una proporción creciente de los incidentes.
  • Reporta las llamadas sospechosas con prontitud para que los defensores puedan detectar actividad pre-ransomware a tiempo.

Las tendencias de IR del tercer trimestre de 2026 de Talos son una señal clara: los atacantes siguen dependiendo de las personas más que de exploits exóticos. Una breve pausa y una llamada de vuelta a un número verificado siguen estando entre las defensas más eficaces contra el vishing del servicio de ayuda.