Los hallazgos atribuidos a PIXM describen una estafa en la que anuncios en webs legítimas llevaban a páginas alojadas en Microsoft Azure que imitaban alertas de Windows y pedían llamar a un supuesto servicio técnico. El mismo kit habría expuesto a usuarios de 80 organizaciones entre marzo y octubre de 2026. Esa cifra cuenta exposición a páginas fraudulentas, no intrusiones confirmadas.
En una cobertura anterior, NeoTeo explicó otra campaña de anuncios con alertas falsas en Windows y macOS. Este caso describe una ruta que terminaba en una llamada a soporte fraudulento.
Del anuncio a la falsa alerta de Windows
Tras hacer clic en un anuncio, la persona llegaba a una página alojada en Azure con avisos falsos, como “System Error” o “Windows Firewall”, un chat de soporte simulado y un número de teléfono. El diseño buscaba que la advertencia pareciese urgente y que el visitante llamase.
Durante la llamada, los estafadores podían intentar que la persona instalase un programa de acceso remoto, cobrarle por reparaciones innecesarias o recurrir a engaños de reembolsos y suplantación bancaria.
Cómo variaba el número mostrado
La página solicitaba un número a un servicio central mediante JavaScript y JSONP, una técnica para pedir datos a otro servidor. Un parámetro asociado a la gestión de anuncios seleccionaba el número del operador; también había uno de respaldo por si fallaba la solicitud.
Un píxel de seguimiento registraba el número mostrado, la campaña, la web donde apareció el anuncio y el intercambio publicitario. Así, según los hallazgos atribuidos a PIXM, se podían vincular los números con sus ubicaciones publicitarias. El 2 de noviembre de 2026 se informó de que seguían apareciendo páginas nuevas a diario.
Qué cuentan las cifras de 80 y 11 organizaciones
Las dos cifras se refieren a alcances distintos: 80 corresponde a la exposición atribuida al kit completo entre marzo y octubre de 2026; 11, a las organizaciones asociadas al backend concreto examinado por PIXM. Ninguna cifra representa una brecha confirmada.
| Organizaciones | Alcance contado | Qué representa |
| 80 | El kit de estafa entre marzo y octubre de 2026 | Organizaciones cuyos usuarios quedaron expuestos a páginas fraudulentas |
| 11 | El backend examinado por PIXM | Organizaciones asociadas a ese backend concreto |
Qué hacer ante una alerta que pide llamar
Si aparece una página sospechosa, cierra la pestaña o sal del navegador y no llames al número que muestra. Para las organizaciones, las medidas recomendadas incluyen bloquear la infraestructura identificada mediante controles DNS o una pasarela web segura, y limitar el uso de herramientas de acceso remoto a los procedimientos de soporte autorizados. Como la página incluía un número de respaldo, bloquear un único servicio telefónico podía no bastar.
