Fake IT help desk callers got by on little more than names and email addresses

Investigadores de Cisco Talos descubrieron que, durante el tercer trimestre de 2026, atacantes contactaron a empleados usando nombres y correos electrónicos para convencerlos de abrir sesiones de acceso remoto. Estos delincuentes utilizan plataformas comunes como Microsoft Teams y la herramienta Quick Assist de Microsoft para guiar a las víctimas en el engaño.

En un caso específico relacionado con la variante de ransomware VYPR, un atacante utilizó una llamada de voz (vishing) para que un usuario iniciara una sesión de Quick Assist. Una vez dentro, el atacante logró instalar paquetes de software malicioso y utilizar controladores vulnerables para tomar el control total del sistema, logrando incluso extraer datos durante varios días.

En otros incidentes, se detectaron ataques dirigidos a obtener credenciales de herramientas de inteligencia artificial como Claude Code en equipos Mac, mediante la búsqueda de contraseñas almacenadas en el llavero (keychain) del sistema operativo.

El reporte de Talos indica que el phishing sigue siendo el principal método de entrada (37%), seguido por la explotación de aplicaciones públicas (33%) y problemas de gestión de credenciales o autenticación débil (33%). Además, la falta de registros (logs) adecuados fue una debilidad detectada en más del 40% de los casos analizados.

Qué significa para una pyme colombiana y cucuteña: No basta con proteger a los gerentes; cualquier empleado puede ser el blanco. Si su personal recibe una llamada o un mensaje de Teams de alguien que dice ser de 'Soporte Técnico' pidiendo acceso remoto, debe instruirlos para que cuelguen y verifiquen por un canal oficial. Además, asegúrese de que su software de seguridad guarde registros (logs) de actividad por al menos 90 días en un lugar externo, para que, si ocurre un ataque, usted pueda saber qué pasó y qué información le robaron.