Cisco Talos опубликовала отчёт о тенденциях реагирования на инциденты (IR) за Q3 2026, и главные выводы стоит понять, даже если вы никогда не работаете в команде безопасности. Фишинг остался ведущей техникой первоначального доступа, доля случаев программ-вымогателей и предшествующих им инцидентов выросла, а финансы и государственное управление разделили первое место среди наиболее атакуемых отраслей. В отчёте также подчёркивается, что злоумышленники выдают себя за ИТ-службу поддержки в атаках вишинга (голосового фишинга). В этом посте объясняется, что это значит простыми словами и как защитить себя от тенденций IR Talos за Q3 2026, которые начинаются с телефонного звонка.

Что обнаружил отчёт Talos за Q3 2026

Исходный материал даёт краткое резюме квартала:

  • Фишинг остался на вершине. Он оставался ведущим способом, которым злоумышленники получали первую точку опоры.
  • Доля программ-вымогателей выросла. Процент случаев программ-вымогателей и предшествующих им инцидентов увеличился по сравнению с предыдущим периодом, охваченным отчётом.
  • Два сектора разделили первое место. Финансы и государственное управление были наиболее атакуемыми отраслями.
  • Выдача себя за службу поддержки. Злоумышленники выдавали себя за ИТ-службу поддержки в атаках вишинга.

«Предшествующий программе-вымогателю» здесь важен. Это случаи, когда специалисты по реагированию обнаружили злоумышленников внутри сети до того, как сама программа-вымогатель была развёрнута. Это говорит о том, что многие вторжения обнаруживаются, или по крайней мере распознаются, на этапе подготовки, когда быстрые действия всё ещё могут ограничить ущерб.

Как работает вишинг с выдачей себя за службу поддержки

Вишинг — это фишинг голосом. Вместо подозрительной ссылки в электронном письме злоумышленник звонит (а иногда пишет сообщения) и утверждает, что он из ИТ-поддержки. Сценарий обычно строится на срочности и обыденности: проблема с вашей учётной записью, оповещение безопасности, пароль, который нужно сбросить, или обновление программного обеспечения, которое необходимо установить.

Это работает, потому что люди приучены сотрудничать с сотрудниками поддержки. Дружелюбный, уверенный звонящий, который знает имя или должность, может звучать правдоподобно. Цель обычно состоит в том, чтобы заставить вас сделать одно из нескольких действий:

  • Раскрыть пароль или одноразовый многофакторный код.
  • Одобрить запрос на вход, который вы не инициировали.
  • Установить программное обеспечение удалённого доступа, чтобы «техник» мог устранить проблему.
  • Посетить убедительную, но поддельную страницу входа.

Как только у злоумышленника появляется сессия или учётные данные, выглядящие легитимно, он может тихо перемещаться по системам. Это именно та точка опоры, которая позже может превратиться в инцидент с программой-вымогателем. В сводке Talos не детализируется каждый шаг этих атак, поэтому практический урок касается первого момента: самого звонка.

Как проверить звонящего из ИТ-отдела

Самая безопасная привычка — считать любой неожиданный запрос учётных данных, кодов или удалённого доступа непроверенным, пока вы не докажете обратное. Несколько простых шагов помогают:

  1. Повесьте трубку и перезвоните. Используйте номер из корпоративного справочника, с официального сайта или из прошлого счёта, но никогда — номер, который даёт вам звонящий.
  2. Никогда не сообщайте коды. Легитимным сотрудникам поддержки не нужны ваш пароль или ваш многофакторный код.
  3. Не устанавливайте программное обеспечение по запросу. Инструменты удалённого доступа следует использовать только тогда, когда вы сами инициировали запрос в поддержку.
  4. Замедлитесь. Давление и срочность — главные инструменты социальной инженерии. Реальная проблема никуда не денется после того, как вы всё проверите.
  5. Сообщите об этом. Расскажите своей настоящей ИТ-команде или контакту по безопасности о попытке, даже если вы не попались на неё. Другие могут получать такой же звонок.

Если вы работаете там, где есть внутренняя система заявок, хорошее правило: настоящий контакт со службой поддержки должен быть отслеживаем до заявки, которую вы открыли или о которой знаете.

Что это значит для вас

Отчёт основан на проектах по реагированию на инциденты с организациями, но тактики выходят далеко за пределы офиса. Многие люди используют рабочие устройства дома, управляют малым бизнесом из домашней сети или повторно используют одни и те же учётные записи в личной и профессиональной жизни. Скомпрометированная учётная запись на работе может раскрыть личные данные, а успешная телефонная мошенническая схема дома может передать злоумышленникам такие же учётные данные.

Растущая доля программ-вымогателей напоминает, что компрометациям на ранней стадии стоит уделять внимание. Если после звонка что-то кажется не так, например запрос, которого вы не ожидали, или программное обеспечение, которое вы не собирались устанавливать, действуйте быстро. Смените затронутые пароли с чистого устройства, выйдите из активных сессий и уведомьте свой ИТ-контакт.

Телефонная и сетевая безопасность также связаны с более широкими привычками в области приватности. Для контекста о том, насколько хрупкими могут стать связность и мониторинг в национальном масштабе, см. наш материал о рекордном 1000-часовом отключении интернета в Иране. Это событие другого типа, но оно показывает, почему важно понимать, кто контролирует ваши соединения и может их наблюдать.

Практические выводы

  • Считайте неожиданные ИТ-звонки непроверенными и перезванивайте по доверенному номеру.
  • Никогда не зачитывайте пароли или многофакторные коды и никогда не одобряйте запросы, которые вы не инициировали.
  • Устанавливайте инструменты удалённой поддержки только тогда, когда вы сами инициировали запрос.
  • Включите многофакторную аутентификацию и поддерживайте программное обеспечение и резервные копии в актуальном состоянии, поскольку случаи с программами-вымогателями составляют растущую долю инцидентов.
  • Своевременно сообщайте о подозрительных звонках, чтобы защитники могли рано обнаружить активность, предшествующую программе-вымогателю.

Тенденции IR Talos за Q3 2026 — ясный сигнал: злоумышленники по-прежнему полагаются на людей больше, чем на экзотические эксплойты. Короткая пауза и обратный звонок на проверенный номер остаются одними из самых эффективных средств защиты от вишинга со стороны службы поддержки.