Cisco Talos опублікувала звіт про тенденції реагування на інциденти (IR) за Q3 2026, і головні висновки варто зрозуміти, навіть якщо ви ніколи не працюєте в команді безпеки. Фішинг залишався провідною технікою початкового доступу, частка випадків програм-вимагачів і передпрограм-вимагачів зросла, а фінанси та державне управління розділили перше місце як найбільш цільові галузі. Звіт також висвітлює атаки, у яких зловмисники видають себе за IT-службу підтримки під час вішингу (голосового фішингу). У цій статті пояснюється, що це означає простими словами і як захистити себе від тенденцій IR від Talos за Q3 2026, які починаються з телефонного дзвінка.

Що виявив звіт Talos за Q3 2026

Джерельний матеріал дає стислий підсумок кварталу:

  • Фішинг залишився на вершині. Він залишався провідним способом, у який зловмисники отримували першу точку опори.
  • Частка програм-вимагачів зросла. Відсоток випадків програм-вимагачів і передпрограм-вимагачів збільшився порівняно з попереднім періодом, охопленим звітом.
  • Дві галузі розділили перше місце. Фінанси та державне управління були найбільш цільовими галузями.
  • Видавання себе за службу підтримки. Зловмисники видавали себе за IT-службу підтримки під час вішинг-атак.

Термін «передпрограма-вимагач» тут важливий. Це випадки, коли фахівці з реагування виявили зловмисників усередині мережі ще до розгортання самої програми-вимагача. Це свідчить про те, що багато вторгнень виявляються, або принаймні розпізнаються, на етапі підготовки, коли швидкі дії ще можуть обмежити збитки.

Як працює вішинг із видаванням себе за службу підтримки

Вішинг — це фішинг голосом. Замість підозрілого посилання в електронному листі зловмисник телефонує (а іноді пише повідомлення) і стверджує, що він з IT-підтримки. Сценарій зазвичай будується на терміновості та рутинності: проблема з вашим обліковим записом, сповіщення про безпеку, пароль, який потрібно скинути, або оновлення програмного забезпечення, яке необхідно встановити.

Це працює, тому що люди звикли співпрацювати зі співробітниками підтримки. Дружній, упевнений абонент, який знає ім'я чи посаду, може звучати переконливо. Мета зазвичай полягає в тому, щоб змусити вас зробити одне з кількох:

  • Розкрити пароль або одноразовий код багатофакторної автентифікації.
  • Підтвердити запит на вхід, який ви не ініціювали.
  • Встановити програмне забезпечення для віддаленого доступу, щоб «технік» міг вирішити проблему.
  • Відвідати переконливу, але фальшиву сторінку входу.

Щойно зловмисник отримує сеанс або облікові дані, що виглядають легітимно, він може тихо переміщатися системами. Це саме той тип точки опори, який згодом може перетворитися на інцидент із програмою-вимагачем. Підсумок Talos не деталізує кожен крок цих атак, тому практичний урок стосується першого моменту: самого дзвінка.

Як перевірити, чи справжній той, хто телефонує з IT

Найбезпечніша звичка — вважати будь-який неочікуваний запит на облікові дані, коди або віддалений доступ неперевіреним, доки ви не доведете зворотне. Кілька простих кроків допомагають:

  1. Покладіть слухавку та передзвоніть. Використовуйте номер із корпоративного довідника, з офіційного вебсайту або з минулого рахунку, ніколи не той, який вам дає абонент.
  2. Ніколи не діліться кодами. Легітимні співробітники підтримки не потребують вашого пароля чи коду багатофакторної автентифікації.
  3. Не встановлюйте програмне забезпечення на прохання. Інструменти віддаленого доступу слід використовувати лише тоді, коли ви самі ініціювали запит на підтримку.
  4. Уповільніться. Тиск і терміновість — головні інструменти соціальної інженерії. Справжня проблема все ще буде там після того, як ви перевірите.
  5. Повідомте про це. Розкажіть своїй справжній IT-команді або контакту з безпеки про спробу, навіть якщо ви не потрапили на гачок. Інші можуть отримувати такий самий дзвінок.

Якщо ви працюєте там, де є внутрішня система заявок, хороше правило: справжній контакт зі службою підтримки повинен бути простежуваним до заявки, яку ви відкрили або про яку знаєте.

Що це означає для вас

Звіт ґрунтується на залученнях до реагування на інциденти в організаціях, але тактики застосовуються далеко за межами офісу. Багато людей використовують робочі пристрої вдома, керують малим бізнесом із домашньої мережі або повторно використовують ті самі облікові записи в особистому та професійному житті. Скомпрометований обліковий запис на роботі може розкрити особисті дані, а успішна телефонна шахрайська схема вдома може передати ті самі типи облікових даних.

Зростання частки програм-вимагачів нагадує, що компрометаціям на ранній стадії варто приділяти увагу. Якщо після дзвінка щось здається не так — наприклад, запит, якого ви не очікували, або програмне забезпечення, яке ви не мали наміру встановлювати, — дійте швидко. Змініть уражені паролі з чистого пристрою, вийдіть з активних сеансів і повідомте свій IT-контакт.

Безпека телефону та мережі також пов'язана з ширшими звичками приватності. Для контексту про те, наскільки крихким може стати підключення та моніторинг у національному масштабі, дивіться наш матеріал про рекордне 1000-годинне відключення інтернету в Ірані. Це подія іншого типу, але вона показує, чому розуміння того, хто контролює ваші з'єднання і може їх спостерігати, має значення.

Практичні висновки

  • Ставтеся до неочікуваних дзвінків від IT як до неперевірених і передзвонюйте за довіреним номером.
  • Ніколи не зачитуйте паролі чи коди багатофакторної автентифікації та ніколи не підтверджуйте запити, які ви не ініціювали.
  • Встановлюйте інструменти віддаленої підтримки лише тоді, коли ви ініціювали запит.
  • Увімкніть багатофакторну автентифікацію та підтримуйте програмне забезпечення й резервні копії в актуальному стані, оскільки випадки з програмами-вимагачами становлять зростаючу частку інцидентів.
  • Своєчасно повідомляйте про підозрілі дзвінки, щоб захисники могли рано виявити активність передпрограм-вимагачів.

Тенденції IR від Talos за Q3 2026 — чіткий сигнал: зловмисники все ще покладаються на людей більше, ніж на екзотичні експлойти. Коротка пауза та передзвін за перевіреним номером залишаються серед найефективніших засобів захисту від вішингу з видаванням себе за службу підтримки.