Cisco Talos opublikował raport trendów w zakresie reagowania na incydenty (IR) za Q3 2026, a kluczowe wnioski warto zrozumieć, nawet jeśli nigdy nie pracujesz w zespole bezpieczeństwa. Phishing pozostał wiodącą techniką początkowego dostępu, wzrósł odsetek przypadków ransomware i pre-ransomware, a finanse i administracja publiczna zajęły ex aequo pierwsze miejsce wśród najczęściej atakowanych branż. Raport zwraca także uwagę na atakujących podszywających się pod help desk IT w atakach vishing (phishing głosowy). Ten artykuł wyjaśnia w prostych słowach, co to oznacza i jak się chronić przed trendami IR Talos Q3 2026, które zaczynają się od telefonu.

Co wykazał raport Talos Q3 2026

Materiał źródłowy zawiera zwięzłe podsumowanie kwartału:

  • Phishing pozostał na szczycie. Pozostał głównym sposobem, w jaki atakujący zdobywali pierwsze oparcie.
  • Udział ransomware wzrósł. Odsetek przypadków ransomware i pre-ransomware zwiększył się w porównaniu z poprzednim okresem objętym raportem.
  • Dwie branże ex aequo na szczycie. Finanse i administracja publiczna były najczęściej atakowanymi branżami.
  • Podszywanie się pod help desk. Aktorzy podszywali się pod help desk IT w atakach vishing.

„Pre-ransomware” ma tu znaczenie. To przypadki, w których respondenci znaleźli atakujących w sieci, zanim samo ransomware zostało wdrożone. Sugeruje to, że wiele włamań jest wychwytywanych, a przynajmniej rozpoznawanych, na etapie przygotowań, gdy szybkie działanie wciąż może ograniczyć szkody.

Jak działa vishing z podszywaniem się pod help desk

Vishing to phishing za pomocą głosu. Zamiast podejrzanego linku w e-mailu atakujący dzwoni (a czasem wysyła wiadomość) i twierdzi, że jest z wsparcia IT. Pretekst zwykle opiera się na pilności i rutynie: problem z kontem, alert bezpieczeństwa, hasło wymagające zresetowania lub aktualizacja oprogramowania, którą trzeba zainstalować.

To działa, ponieważ ludzie są przyzwyczajeni do współpracy z personelem wsparcia. Przyjazny, pewny siebie rozmówca, który zna imię lub stanowisko, może brzmieć wiarygodnie. Celem jest zazwyczaj skłonienie cię do jednej z kilku rzeczy:

  • Ujawnienia hasła lub jednorazowego kodu wieloskładnikowego.
  • Zatwierdzenia monitu logowania, którego nie zainicjowałeś.
  • Zainstalowania oprogramowania do zdalnego dostępu, aby „technik” mógł naprawić problem.
  • Odwiedzenia przekonującej, ale fałszywej strony logowania.

Gdy atakujący ma sesję lub dane uwierzytelniające wyglądające na legalne, może poruszać się po systemach po cichu. To dokładnie taki rodzaj oparcia, który później może przerodzić się w incydent ransomware. Podsumowanie Talos nie opisuje każdego kroku tych ataków, więc praktyczna lekcja dotyczy pierwszego momentu: samego telefonu.

Jak zweryfikować osobę dzwoniącą z IT

Najbezpieczniejszym nawykiem jest traktowanie każdej nieoczekiwanej prośby o dane uwierzytelniające, kody lub zdalny dostęp jako niezweryfikowanej, dopóki nie udowodnisz inaczej. Pomaga kilka prostych kroków:

  1. Rozłącz się i oddzwoń. Użyj numeru z katalogu firmowego, oficjalnej strony internetowej lub wcześniejszej faktury, nigdy tego, który podał dzwoniący.
  2. Nigdy nie udostępniaj kodów. Legalny personel wsparcia nie potrzebuje twojego hasła ani kodu wieloskładnikowego.
  3. Nie instaluj oprogramowania na prośbę. Narzędzia zdalnego dostępu powinny być używane tylko wtedy, gdy sam zainicjowałeś prośbę o wsparcie.
  4. Zwolnij. Nacisk i pilność to główne narzędzia inżynierii społecznej. Prawdziwy problem wciąż będzie tam po weryfikacji.
  5. Zgłoś to. Powiadom swój rzeczywisty zespół IT lub osobę kontaktową ds. bezpieczeństwa o próbie, nawet jeśli się nie nabrałeś. Inni mogą otrzymywać ten sam telefon.

Jeśli pracujesz w miejscu z wewnętrznym systemem zgłoszeń, dobrą zasadą jest, że prawdziwy kontakt z help deskiem powinien być możliwy do powiązania ze zgłoszeniem, które otworzyłeś lub o którym wiesz.

Co to oznacza dla ciebie

Raport opiera się na projektach reagowania na incydenty w organizacjach, ale taktyki mają zastosowanie znacznie poza biurem. Wiele osób używa urządzeń służbowych w domu, prowadzi małe firmy z sieci domowej lub używa tych samych kont w życiu prywatnym i zawodowym. Przejęte konto w pracy może ujawnić dane osobowe, a udany scam telefoniczny w domu może przekazać te same rodzaje danych uwierzytelniających.

Rosnący udział ransomware przypomina, że wczesne etapy kompromitacji zasługują na uwagę. Jeśli po telefonie coś wydaje się nie tak, na przykład nieoczekiwany monit lub oprogramowanie, którego nie zamierzałeś instalować, działaj szybko. Zmień dotknięte hasła z czystego urządzenia, wyloguj się z aktywnych sesji i powiadom swoją osobę kontaktową ds. IT.

Bezpieczeństwo telefonu i sieci wiąże się także z szerszymi nawykami dotyczącymi prywatności. Dla kontekstu, jak kruche mogą stać się łączność i monitoring w skali kraju, zobacz nasz materiał o rekordowym 1000-godzinnym wyłączeniu internetu w Iranie. To inny rodzaj wydarzenia, ale pokazuje, dlaczego zrozumienie, kto kontroluje twoje połączenia i może je obserwować, ma znaczenie.

Praktyczne wnioski

  • Traktuj nieoczekiwane telefony z IT jako niezweryfikowane i oddzwoń, używając zaufanego numeru.
  • Nigdy nie czytaj na głos haseł ani kodów wieloskładnikowych i nigdy nie zatwierdzaj monitów, których nie wywołałeś.
  • Instaluj narzędzia zdalnego wsparcia tylko wtedy, gdy sam zainicjowałeś prośbę.
  • Włącz uwierzytelnianie wieloskładnikowe i utrzymuj aktualność oprogramowania oraz kopii zapasowych, ponieważ przypadki ransomware stanowią rosnący udział incydentów.
  • Zgłaszaj podejrzane telefony niezwłocznie, aby obrońcy mogli wcześnie wychwycić aktywność pre-ransomware.

Trendy IR Talos Q3 2026 to wyraźny sygnał: atakujący nadal polegają na ludziach bardziej niż na egzotycznych exploitach. Krótka pauza i oddzwonienie na zweryfikowany numer pozostają jednymi z najskuteczniejszych obron przed vishingiem podszywającym się pod help desk.