Talos 2026 Q2 incidenskezelési jelentés
A Cisco Talos 2026 második negyedéves incidenskezelési jelentése szerint a vizsgált kibertámadásokban ismét az adathalászat (phishing) volt a leggyakoribb kezdeti behatolási módszer, amely az esetek 53%-ában vezetett kompromittáláshoz. A támadók egyre ritkábban küldenek hagyományos, rosszindulatú mellékleteket, helyettük PDF-ekbe ágyazott QR-kódokat, megbízható felhőszolgáltatásokon – például Microsoft 365-ön vagy Dropboxon – tárolt hamis bejelentkezési oldalakat, illetve hitelesnek tűnő dokumentummegosztási értesítéseket használnak. Miután megszerezték a felhasználó hitelesítő adatait, jellemzően nem telepítenek azonnal feltűnő kártevőt, hanem legitim távoli adminisztrációs eszközökkel – például AnyDesk, TeamViewer, ScreenConnect, Quick Assist vagy RDP – jelentkeznek be a kompromittált rendszerbe. Mivel ezeket a programokat a rendszergazdák is napi szinten használják, a támadók tevékenysége sokkal nehezebben különíthető el a normál üzemeltetési feladatoktól, ami jelentősen megnehezíti a korai észlelést. A Talos emellett azt is megfigyelte, hogy egyre gyakoribb a hitelesítő adatok és a munkamenet-tokenek ellopása, így a támadók sok esetben a többtényezős hitelesítést is képesek megkerülni.
A jelentés szerint a vizsgálatok során nem a támadók technikai kifinomultsága okozta a legnagyobb problémát, hanem az, hogy sok szervezet nem rendelkezett elegendő naplózási és monitorozási képességgel. Több incidensnél hiányoztak a tartományvezérlők, végpontok vagy felhőszolgáltatások naplói, illetve azokat csak néhány napig őrizték meg. Emiatt gyakran nem lehetett pontosan megállapítani, mikor és hogyan történt a behatolás, milyen rendszereket érintett, illetve történt-e adatlopás.
A Talos szerint a hatékony incidenskezelés alapja legalább 90 napnyi központilag gyűjtött naplómegőrzése, valamint a végpontok, hálózati eszközök és felhőszolgáltatások eseményeinek egyetlen felügyeleti rendszerben történő elemzése. A kutatók arra is felhívják a figyelmet, hogy a támadások jelentős része továbbra is olyan rendszereket érint, amelyek közvetlenül elérhetők az internetről, vagy már ismert, de még nem javított sérülékenységeket tartalmaznak. Ezért a nyilvános menedzsmentfelületek megszüntetése, a biztonsági frissítések gyors telepítése és a távoli hozzáférések szigorú felügyelete továbbra is a leghatékonyabb védelmi intézkedések közé tartozik. A legtöbb sikeres támadás nem új, kifinomult technikákra épül, hanem a hitelesítő adatok megszerzésére, a legitim adminisztrációs eszközök visszaélésszerű használatára és a szervezetek hiányos láthatóságára.
