Cisco Talos ha pubblicato il suo rapporto sulle tendenze dell'incident response (IR) del Q3 2026, e le conclusioni principali meritano di essere comprese anche se non lavori mai in un team di sicurezza. Il phishing è rimasto la tecnica di accesso iniziale principale, la quota di casi di ransomware e pre-ransomware è aumentata, e finanza e pubblica amministrazione si sono posizionate a pari merito come settori più presi di mira. Il rapporto evidenzia inoltre attori che si spacciano per help desk IT in attacchi di vishing (voice phishing). Questo articolo spiega cosa significa in termini semplici e come proteggerti dalle tendenze IR del Q3 2026 di Talos che iniziano con una telefonata.

Cosa ha rilevato il rapporto Talos del Q3 2026

Il materiale di origine fornisce un riassunto conciso del trimestre:

  • Il phishing è rimasto in cima. È rimasto il principale modo in cui gli attaccanti hanno ottenuto il loro primo punto d'appoggio.
  • La quota di ransomware è cresciuta. La percentuale di casi di ransomware e pre-ransomware è aumentata rispetto al periodo precedente coperto dal rapporto.
  • Due settori a pari merito per il primo posto. Finanza e pubblica amministrazione sono stati i settori più presi di mira.
  • Impersonificazione dell'help desk. Gli attori si sono spacciati per help desk IT in attacchi di vishing.

"Pre-ransomware" è importante qui. Si tratta di casi in cui i responder hanno trovato gli attaccanti all'interno di una rete prima che il ransomware stesso fosse distribuito. Questo suggerisce che molte intrusioni vengono intercettate, o almeno riconosciute, durante la fase di preparazione, quando un'azione rapida può ancora limitare i danni.

Come funziona il vishing con impersonificazione dell'help desk

Il vishing è phishing vocale. Invece di un link sospetto in un'email, l'attaccante chiama (o talvolta invia messaggi) e afferma di essere dell'assistenza IT. Il copione si basa di solito su urgenza e routine: un problema con il tuo account, un avviso di sicurezza, una password da reimpostare o un aggiornamento software da installare.

Funziona perché le persone sono abituate a collaborare con il personale di supporto. Un chiamante amichevole e sicuro di sé che conosce un nome o una qualifica professionale può sembrare credibile. L'obiettivo è tipicamente farti fare una di queste cose:

  • Rivelare una password o un codice monouso a più fattori.
  • Approvare una richiesta di accesso che non hai avviato tu.
  • Installare software di accesso remoto così che il "tecnico" possa risolvere il problema.
  • Visitare una pagina di login convincente ma falsa.

Una volta che un attaccante ha una sessione o credenziali dall'aspetto legittimo, può muoversi silenziosamente attraverso i sistemi. È esattamente il tipo di punto d'appoggio che può poi trasformarsi in un incidente ransomware. Il riassunto di Talos non dettaglia ogni fase di questi attacchi, quindi la lezione pratica riguarda il primo momento: la chiamata stessa.

Come verificare un chiamante IT

L'abitudine più sicura è trattare qualsiasi richiesta inaspettata di credenziali, codici o accesso remoto come non verificata finché non dimostri il contrario. Alcuni semplici passaggi aiutano:

  1. Riaggancia e richiama. Usa un numero dalla rubrica aziendale, da un sito web ufficiale o da una fattura passata, mai uno fornito dal chiamante.
  2. Non condividere mai i codici. Il personale di supporto legittimo non ha bisogno della tua password o del tuo codice a più fattori.
  3. Non installare software su richiesta. Gli strumenti di accesso remoto dovrebbero essere usati solo quando hai avviato tu la richiesta di supporto.
  4. Rallenta. Pressione e urgenza sono i principali strumenti dell'ingegneria sociale. Un problema reale sarà ancora lì dopo che avrai verificato.
  5. Segnalalo. Informa il tuo vero team IT o il contatto di sicurezza del tentativo, anche se non ci sei cascato. Altri potrebbero ricevere la stessa chiamata.

Se lavori in un'organizzazione con un sistema di ticketing interno, una buona regola è che un vero contatto dell'help desk dovrebbe essere riconducibile a un ticket che hai aperto o di cui sei a conoscenza.

Cosa significa per te

Il rapporto si basa su incarichi di incident response con organizzazioni, ma le tattiche si applicano ben oltre l'ufficio. Molte persone usano dispositivi di lavoro a casa, gestiscono piccole imprese da una rete domestica o riutilizzano gli stessi account nella vita personale e professionale. Un account compromesso al lavoro può esporre dati personali, e una truffa telefonica riuscita a casa può consegnare lo stesso tipo di credenziali.

La crescente quota di ransomware è un promemoria che le compromissioni in fase iniziale meritano attenzione. Se qualcosa sembra strano dopo una chiamata, come una richiesta che non ti aspettavi o un software che non intendevi installare, agisci rapidamente. Cambia le password interessate da un dispositivo pulito, esci dalle sessioni attive e avvisa il tuo contatto IT.

La sicurezza di telefoni e reti si collega anche ad abitudini più ampie in materia di privacy. Per un contesto su quanto la connettività e il monitoraggio possano diventare fragili su scala nazionale, vedi la nostra copertura di l'interruzione internet record di 1.000 ore in Iran. È un tipo diverso di evento, ma mostra perché capire chi controlla e può osservare le tue connessioni è importante.

Punti chiave concreti

  • Tratta le chiamate IT inaspettate come non verificate e richiama usando un numero fidato.
  • Non leggere mai ad alta voce password o codici a più fattori, e non approvare mai richieste che non hai attivato tu.
  • Installa strumenti di supporto remoto solo quando hai avviato tu la richiesta.
  • Abilita l'autenticazione a più fattori e mantieni software e backup aggiornati, poiché i casi di ransomware rappresentano una quota crescente degli incidenti.
  • Segnala prontamente le chiamate sospette così che i difensori possano individuare precocemente l'attività pre-ransomware.

Le tendenze IR del Q3 2026 di Talos sono un segnale chiaro: gli attaccanti si affidano ancora alle persone più che a exploit esotici. Una breve pausa e una richiamata a un numero verificato restano tra le difese più efficaci contro il vishing dell'help desk.