A Cisco Talos publicou seu relatório de tendências de resposta a incidentes (IR) do terceiro trimestre de 2026, e as principais conclusões merecem ser compreendidas mesmo por quem nunca trabalha em uma equipe de segurança. O phishing continuou sendo a principal técnica de acesso inicial, a parcela de casos de ransomware e pré-ransomware aumentou, e finanças e administração pública empataram como os setores mais visados. O relatório também destaca atacantes se passando por help desks de TI em ataques de vishing (phishing por voz). Este artigo explica o que isso significa em termos simples e como se proteger das tendências de IR do Talos para o T3 de 2026 que começam com uma ligação telefônica.
O que o relatório do Talos para o T3 de 2026 descobriu
O material de origem traz um resumo conciso do trimestre:
- O phishing permaneceu no topo. Continuou sendo a principal forma pela qual os atacantes obtiveram seu primeiro ponto de apoio.
- A parcela de ransomware cresceu. O percentual de casos de ransomware e pré-ransomware aumentou em comparação com o período anterior coberto pelo relatório.
- Dois setores empataram na primeira posição. Finanças e administração pública foram os setores mais visados.
- Impersonação de help desk. Os agentes se passaram por help desks de TI em ataques de vishing.
"Pré-ransomware" importa aqui. São casos em que os respondedores encontraram atacantes dentro de uma rede antes que o próprio ransomware fosse implantado. Isso sugere que muitas intrusões são detectadas, ou pelo menos reconhecidas, durante a fase de preparação, quando uma ação rápida ainda pode limitar os danos.
Como funciona o vishing com impersonação de help desk
Vishing é phishing por voz. Em vez de um link suspeito em um e-mail, o atacante liga (ou às vezes envia mensagens) alegando ser do suporte de TI. O argumento geralmente é construído sobre urgência e rotina: um problema com sua conta, um alerta de segurança, uma senha que precisa ser redefinida ou uma atualização de software que precisa ser instalada.
Isso funciona porque as pessoas são condicionadas a cooperar com a equipe de suporte. Um interlocutor amigável e confiante que sabe um nome ou um cargo pode parecer crível. O objetivo normalmente é fazer você fazer uma de algumas coisas:
- Revelar uma senha ou um código multifator de uso único.
- Aprovar um prompt de login que você não iniciou.
- Instalar software de acesso remoto para que o "técnico" possa corrigir o problema.
- Visitar uma página de login falsa, mas convincente.
Uma vez que um atacante tenha uma sessão ou credenciais com aparência legítima, ele pode se mover silenciosamente pelos sistemas. Esse é exatamente o tipo de ponto de apoio que mais tarde pode se transformar em um incidente de ransomware. O resumo da Talos não detalha cada etapa desses ataques, então a lição prática é sobre o primeiro momento: a própria ligação.
Como verificar um interlocutor de TI
O hábito mais seguro é tratar qualquer solicitação inesperada de credenciais, códigos ou acesso remoto como não verificada até que você prove o contrário. Alguns passos simples ajudam:
- Desligue e retorne a ligação. Use um número do diretório da sua empresa, de um site oficial ou de uma fatura anterior, nunca um que o interlocutor forneça.
- Nunca compartilhe códigos. Funcionários legítimos de suporte não precisam da sua senha ou do seu código multifator.
- Não instale software sob solicitação. Ferramentas de acesso remoto só devem ser usadas quando você mesmo iniciou a solicitação de suporte.
- Diminua o ritmo. Pressão e urgência são as principais ferramentas da engenharia social. Um problema real ainda estará lá depois que você verificar.
- Reporte. Avise sua equipe real de TI ou seu contato de segurança sobre a tentativa, mesmo que você não tenha caído nela. Outras pessoas podem estar recebendo a mesma ligação.
Se você trabalha em um local com um sistema interno de tickets, uma boa regra é que o contato real do help desk deve ser rastreável a um ticket que você abriu ou do qual tem conhecimento.
O que isso significa para você
O relatório é baseado em engajamentos de resposta a incidentes com organizações, mas as táticas se aplicam muito além do escritório. Muitas pessoas usam dispositivos de trabalho em casa, administram pequenos negócios a partir de uma rede doméstica ou reutilizam as mesmas contas na vida pessoal e profissional. Uma conta comprometida no trabalho pode expor dados pessoais, e um golpe telefônico bem-sucedido em casa pode entregar os mesmos tipos de credenciais.
O aumento da parcela de ransomware é um lembrete de que comprometimentos em estágio inicial merecem atenção. Se algo parecer estranho após uma ligação, como um prompt que você não esperava ou um software que você não pretendia instalar, aja rapidamente. Altere as senhas afetadas a partir de um dispositivo limpo, encerre as sessões ativas e notifique seu contato de TI.
A segurança de telefone e de rede também se conecta a hábitos mais amplos de privacidade. Para contexto sobre como a conectividade e o monitoramento podem se tornar frágeis em escala nacional, veja nossa cobertura do apagão de internet recorde de 1.000 horas no Irã. É um tipo diferente de evento, mas mostra por que entender quem controla e pode observar suas conexões é importante.
Conclusões práticas
- Trate ligações inesperadas de TI como não verificadas e retorne a ligação usando um número confiável.
- Nunca leia em voz alta senhas ou códigos multifator, e nunca aprove prompts que você não acionou.
- Só instale ferramentas de suporte remoto quando você mesmo iniciou a solicitação.
- Ative a autenticação multifator e mantenha software e backups atualizados, já que casos de ransomware representam uma parcela crescente dos incidentes.
- Reporte ligações suspeitas prontamente para que os defensores possam detectar atividades de pré-ransomware cedo.
As tendências de IR do Talos para o T3 de 2026 são um sinal claro: os atacantes ainda dependem das pessoas mais do que de exploits exóticos. Uma breve pausa e um retorno de ligação para um número verificado continuam entre as defesas mais eficazes contra o vishing de help desk.
