El 19 de octubre de 2026, Dark Reading informó de que investigadores de Infoblox habían accedido al panel de afiliados de Help TDS. El reportaje también contó que Renée Burton, vicepresidenta de inteligencia de amenazas de Infoblox, habló durante 13 minutos con un hombre que se hizo pasar por técnico de Microsoft. Help TDS dirige tráfico web hacia falsas llamadas de soporte con la marca de Microsoft.
Cómo Help TDS lleva a los usuarios hasta el aviso falso
Infoblox sitúa Help TDS en activo desde, al menos, abril de 2017 y atribuye su operación a Hotejka, que considera una nueva marca de ROI777. El sistema de distribución de tráfico, conocido como TDS, analiza características del navegador y la ubicación del visitante para enviarlo a una estafa de soporte o a otro destino de afiliados. En 2026, Infoblox identificó alrededor de 20 afiliados, entre ellos Balada Injector, Detour Dog y DollyWay.
La ruta fraudulenta puede empezar con un aviso falso de actualización o seguridad que bloquea el navegador, activa alarmas y pide llamar a un número. Desde abril de 2026, según Infoblox, la operación utilizaba sitios desechables de Cloudflare Pages. El canal de Telegram asociado actualizaba cada cinco minutos el conjunto de dominios de mando y control, y Hotejka creaba unos 300 sitios al día.
Hasta mediados de septiembre, Infoblox había detectado más de 16.000 dominios que Hotejka utilizó después. La cifra total de dominios asociados a Help TDS que la empresa detectó rondaba los 30.000.
La llamada buscaba que la investigadora instalara acceso remoto
Infoblox sitúa la llamada de Burton a mediados de junio de 2026. El supuesto agente le indicó que descargara UltraViewer, un programa de acceso remoto. La llamada terminó después de que Burton cuestionara esa petición. El agente también le dio instrucciones para cerrar y volver a iniciar sesión.
Un complemento malicioso recogía datos de WordPress
GoDaddy estima que el complemento malicioso woocommerce_inputs se instaló en más de 10.000 sitios de todo el mundo. Según su análisis, la versión 1.5 recogía nombres de usuario, direcciones de correo electrónico, nombres visibles y URL de sitios WordPress, y transmitía esos datos a la infraestructura de control de Help TDS.
GoDaddy afirma que el complemento no estaba afiliado a WooCommerce ni a Automattic. Su nombre, por tanto, no lo convierte en una extensión oficial de WooCommerce.
Las mediciones de Infoblox describen dos periodos
En julio de 2026, Infoblox implantó un algoritmo para anticipar dominios y dijo que detectaba nuevos sitios alrededor de siete días antes de que se utilizaran en Help TDS. La exposición que comunicó la empresa entre sus propios clientes cloud fue distinta en dos periodos:
| Periodo observado | Exposición entre clientes cloud de Infoblox |
| Un día tras el paso a Cloudflare Pages | Hasta el 4 % |
| Septiembre de 2026, tras desplegar nuevos métodos de detección | Menos del 0,5 % |
Cómo reconocer el soporte auténtico de Microsoft
Microsoft afirma que sus mensajes auténticos de error y advertencia nunca incluyen un número de teléfono y que no realiza llamadas no solicitadas para ofrecer asistencia técnica. Para pedir ayuda, indica iniciar el contacto desde Get Help en la web o en Windows. Desde allí ofrece recursos de autoayuda o conecta al usuario con el canal adecuado, que puede incluir chat. Acceder a Get Help de Microsoft.
