Una truffa di falso supporto avrebbe usato annunci su siti legittimi per portare i visitatori a finte allerte Windows ospitate su Microsoft Azure e invitarli a chiamare un numero fraudolento. Secondo Cyber Security News, che ha riferito i risultati di PIXM, il kit ha raggiunto utenti presso 80 organizzazioni tra marzo e ottobre 2026: il dato riguarda l’esposizione alle pagine della truffa.
NeoTeo aveva già raccontato l’indagine di Google su falsi annunci e avvisi per Windows e macOS. Il caso riferito da PIXM descrive un altro percorso: dalla pubblicità a una pagina ospitata su Azure, fino alla chiamata al falso supporto.
Dalla pubblicità al falso avviso
Nel percorso descritto, un annuncio apparso su un sito legittimo apriva una pagina con un falso avviso di sicurezza e una chat di assistenza. Gli avvisi imitavano messaggi di Windows, tra cui “System Error” e “Windows Firewall”, e spingevano il visitatore a chiamare un numero gratuito. La pagina era ospitata su Microsoft Azure.
Il resoconto riferisce che il numero poteva essere richiesto a un servizio centrale tramite JavaScript e JSONP, un metodo per ottenere dati da un servizio esterno. Un parametro legato alla pubblicità selezionava il numero dell’operatore; la pagina prevedeva anche un numero alternativo. Un pixel di tracciamento registrava il numero visualizzato, la campagna, il sito e il circuito pubblicitario associati all’annuncio.
Durante la chiamata, i truffatori potevano cercare di indurre le persone a installare software di accesso remoto, pagare riparazioni non necessarie o seguire schemi basati su rimborsi e sull’impersonificazione di una banca. Il resoconto riferisce inoltre che il 2 novembre 2026 comparivano nuove pagine ogni giorno.
Che cosa indicano i dati di 80 e 11 organizzazioni
I due numeri descrivono perimetri diversi: 80 organizzazioni per la portata del kit più ampio nel periodo marzo-ottobre 2026, 11 per quelle associate allo specifico backend esaminato da PIXM.
| Organizzazioni | Perimetro descritto |
| 80 | Organizzazioni presso cui utenti sono stati raggiunti dalle pagine del kit, tra marzo e ottobre 2026 |
| 11 | Organizzazioni associate al backend esaminato da PIXM |
Come reagire a un avviso che chiede di chiamare
Se compare una pagina sospetta, chiudere la scheda o uscire dal browser e non chiamare il numero mostrato. Per le organizzazioni, il resoconto indica il blocco dell’infrastruttura segnalata tramite controlli DNS o gateway web sicuri e la limitazione dei software di accesso remoto ai flussi di assistenza autorizzati. Bloccare soltanto il servizio che distribuisce i numeri può non bastare: le pagine includevano anche un numero alternativo.
