Una llamada de “soporte técnico” falso puede terminar en un ataque de ransomware
El equipo de respuesta a incidentes de Cisco Talos publicó su informe del tercer trimestre de 2026 y describe una técnica que cualquier empleado o dueño de empresa puede encontrarse: alguien llama o escribe haciéndose pasar por el soporte técnico de la propia empresa y pide que se habilite una sesión de acceso remoto. En uno de los casos analizados, ese acceso inicial terminó en un ataque de ransomware.
Cómo funciona el engaño
La técnica se conoce como vishing (phishing por voz). El atacante genera urgencia, por ejemplo un supuesto problema de seguridad o una actualización pendiente, y pide instalar o abrir una herramienta legítima de asistencia remota, como Quick Assist de Microsoft. Como la herramienta es real, el equipo no la bloquea y el atacante entra con el permiso de la propia víctima, sin necesidad de romper ninguna defensa.
Qué impacto técnico tiene
Una vez dentro de la red, el atacante puede explorar los equipos, desactivar herramientas de seguridad, copiar información y cifrar archivos en computadoras, servidores y NAS. Para la empresa, eso se traduce en documentos que no se abren, copias de seguridad cifradas o inaccesibles y sistemas detenidos. Según Talos, los incidentes de ransomware y pre-ransomware llegaron al 27 % de los casos que atendió en el trimestre, frente a un máximo de 20 % en los cuatro trimestres anteriores.
El phishing (enlaces y archivos maliciosos) siguió siendo la vía de entrada más frecuente, presente en alrededor del 37 % de los casos, aunque menos que en el trimestre previo. Le siguió la explotación de aplicaciones expuestas a internet, con cerca del 33 %.
Un detalle importante: estas cifras corresponden únicamente a los incidentes atendidos por Talos en ese período. No son una medición de todas las empresas ni de todos los ataques.
Cómo prevenirlo
- Verificá la identidad por un canal conocido. Si alguien dice ser de soporte, cortá y llamá vos al número oficial que ya tenías.
- No concedas acceso remoto ante un pedido inesperado, aunque la persona conozca tu nombre o el de tu empresa.
- Definí una regla interna: el acceso remoto solo se habilita si lo solicitó la empresa a través de un proceso acordado.
- Mantené una copia de seguridad independiente, fuera de la red principal y con restauraciones probadas.
- Capacitá al personal. Un aviso corto sobre este tipo de llamadas evita muchos incidentes.
Si ya diste acceso o sospechás un ataque
- Desconectá el equipo de la red (cable o Wi-Fi) y cerrá la sesión remota.
- No lo apagues ni lo reinicies de forma repetida, y no lo vuelvas a encender si ya muestra archivos cifrados: puede perderse evidencia y empeorar el daño.
- No formatees ni reinstales el sistema ni pagues el rescate sin asesorarte antes.
- Preservá la evidencia: anotá la hora, el número o usuario que contactó y las herramientas que se abrieron.
- Cambiá las contraseñas desde otro equipo que no esté comprometido y avisá a quien administre tus sistemas.
Cómo podemos ayudarte
En CM Data Recovery trabajamos con discos, servidores, RAID y NAS afectados por ransomware. Nuestros ingenieros hacen una evaluación gratuita en el laboratorio de Palermo, y en CABA coordinamos el retiro sin cargo. Cada caso depende del estado de los equipos y del tipo de cifrado, por eso no prometemos resultados sin evaluarlo primero.
Créditos de la información original: Cisco Talos, informe de tendencias de respuesta a incidentes del tercer trimestre de 2026 (29 de octubre de 2026).
Fuente original: Cisco Talos, informe de tendencias de respuesta a incidentes del tercer trimestre de 2026