Des publicités diffusées sur des sites légitimes dirigeaient des visiteurs vers des pages hébergées sur Microsoft Azure, où de fausses alertes Windows les incitaient à appeler un faux support. Cyber Security News, qui rapporte des résultats attribués à PIXM, situe l’exposition au kit entre mars et octobre 2026 et indique que de nouvelles pages apparaissaient chaque jour au 2 novembre 2026. Lire le compte rendu de la campagne.
NeoTeo avait déjà consacré un article aux fausses alertes Windows et macOS liées à Google Ads. Le cas rapporté ici décrit un autre parcours vers un faux service d’assistance.
De la publicité à la fausse alerte Windows
Après le clic sur une annonce, la page affichait une fausse alerte de sécurité et un chat d’assistance, puis poussait l’internaute à appeler un numéro frauduleux. Les messages imitaient notamment des alertes « System Error » et « Windows Firewall ». L’hébergement sur Azure donnait à ces pages une adresse associée à un service cloud légitime, tandis que leur contenu cherchait à se faire passer pour une alerte Windows.
Pourquoi le numéro affiché pouvait changer
Le mécanisme décrit reposait sur une requête JavaScript utilisant JSONP pour obtenir un numéro auprès d’un service central. Un paramètre lié à la publicité sélectionnait le numéro d’un opérateur; un numéro de secours était également prévu. Un pixel de suivi enregistrait le numéro affiché, la campagne, le site éditeur et la régie publicitaire, afin de relier les appels aux emplacements publicitaires.
L’appel pouvait ensuite servir à pousser l’internaute à installer un logiciel d’accès à distance ou à payer une réparation inutile. Le scénario rapporté évoquait aussi des prétextes de remboursement ou l’usurpation d’une banque.
Ce que comptent les chiffres de 80 et 11 organisations
Les deux chiffres renvoient à des périmètres différents. Le premier concerne l’exposition au kit plus large; le second, les organisations associées au backend particulier examiné par PIXM.
| Chiffre rapporté | Périmètre | Ce qui est compté |
| 80 organisations | Même kit, de mars à octobre 2026 | Des utilisateurs dans ces organisations ont été exposés aux pages frauduleuses |
| 11 organisations | Backend examiné par PIXM | Organisations associées à ce backend précis |
Ces nombres décrivent une exposition à des pages frauduleuses, pas des intrusions confirmées dans les réseaux de ces organisations.
Comment réagir à une fausse alerte
Si une page exige d’appeler le numéro affiché, fermez l’onglet ou quittez le navigateur et ne téléphonez pas. Pour les équipes informatiques, le compte rendu recommande de bloquer l’infrastructure signalée au niveau du DNS ou d’une passerelle web sécurisée, et de réserver les outils d’accès à distance aux procédures d’assistance autorisées. Comme le dispositif prévoyait un numéro de secours, bloquer un seul service téléphonique ne suffisait pas à lui seul.
