Il 19 ottobre 2026 Dark Reading ha riferito che i ricercatori di Infoblox avevano avuto accesso al pannello affiliati di Help TDS, un sistema che indirizza il traffico verso false chiamate di assistenza Microsoft. Microsoft è il marchio impersonato: nella truffa descritta, un presunto operatore cerca di convincere le persone a installare un software per l’accesso remoto.
Come Help TDS porta i visitatori a una falsa chiamata
Infoblox colloca Help TDS in attività almeno dall’aprile 2017 e valuta che il programma di affiliazione Hotejka gestisca il sistema e sia collegato alla precedente operazione ROI777. Il sistema analizza caratteristiche del browser e posizione del visitatore, quindi lo indirizza verso una truffa di falso supporto o un’altra destinazione affiliata.
La truffa può iniziare con un falso avviso di aggiornamento o di sicurezza che imita Windows. Il browser può bloccarsi mentre compaiono allarmi e un’istruzione vocale invita a chiamare un numero. Infoblox riferisce che, nell’aprile 2026, l’operazione ha iniziato a usare siti usa e getta su Cloudflare Pages. Secondo l’azienda, Hotejka ne crea circa 300 al giorno e aggiorna ogni cinque minuti l’elenco dei domini di comando e controllo nel proprio canale Telegram.
La chiamata puntava al software di accesso remoto
A metà giugno 2026, secondo Infoblox, la vicepresidente dell’intelligence sulle minacce Renée Burton ha visitato un sito compromesso, ha incontrato il blocco del browser e ha chiamato il numero mostrato. La persona al telefono si è presentata come addetto al supporto Microsoft e ha cercato di indirizzarla a UltraViewer, un programma per l’accesso remoto. Dark Reading ha riferito che la chiamata è durata 13 minuti.
La sequenza mette insieme due pressioni: l’avviso urgente sullo schermo e la voce al telefono che offre assistenza. L’installazione di un programma di accesso remoto può dare al truffatore un accesso al dispositivo da cui cercare di estendere la frode.
Il plugin malevolo coinvolgeva anche i dati dei siti
GoDaddy Security ha analizzato woocommerce_inputs, un plugin WordPress malevolo che reindirizzava i visitatori verso truffe di falso supporto. GoDaddy stima che fosse installato su oltre 10.000 siti nel mondo. Nella versione 1.5, il plugin raccoglieva nomi utente WordPress, indirizzi email, nomi visualizzati e URL dei siti, poi li trasmetteva al server di comando e controllo di Help TDS.
GoDaddy precisa che woocommerce_inputs non è affiliato a WooCommerce o Automattic. Il nome può sembrare legato al software legittimo, ma non identifica un plugin ufficiale.
Le misure di esposizione riguardano i clienti Infoblox
Infoblox ha riferito che, dopo il passaggio a Cloudflare Pages, l’esposizione tra i propri clienti cloud ha raggiunto fino al 4% in una singola giornata. A settembre 2026, dopo modifiche ai sistemi di rilevamento, è scesa sotto lo 0,5% per la stessa popolazione.
| Periodo e condizione | Esposizione tra i clienti cloud Infoblox |
| Picco in una singola giornata dopo il passaggio a Cloudflare Pages | Fino al 4% |
| Settembre 2026, dopo modifiche al rilevamento | Meno dello 0,5% |
Infoblox ha inoltre identificato circa 20 affiliati nel 2026, tra cui Balada Injector, Detour Dog e DollyWay. Entro metà settembre aveva rilevato oltre 16.000 domini poi usati da Hotejka per Help TDS; il totale più ampio dei domini associati rilevati era di circa 30.000. A luglio l’azienda ha introdotto un algoritmo di previsione dei domini e ha riferito di anticipare in media di circa sette giorni gli annunci dell’operazione.
Come riconoscere un falso avviso Microsoft
Microsoft afferma che i suoi messaggi autentici di errore e avviso non includono numeri di telefono e che non effettua chiamate non richieste per offrire assistenza tecnica. Un avviso che mostra un numero e invita a chiamarlo non è quindi un canale ufficiale. La guida Microsoft sulle truffe di falso supporto spiega come riconoscerle e segnalarle.
Per chiedere aiuto, è possibile avviare una richiesta tramite il supporto tecnico Microsoft, sul Web o in Windows. Microsoft indica che il servizio può offrire assistenza autonoma o indirizzare l’utente al canale appropriato, che può includere la chat.
