Advertenties op legitieme websites leidden bezoekers volgens PIXM naar Azure-pagina’s met nagemaakte Windows-waarschuwingen en een telefoonnummer van nep-support. Dezelfde scamkit bereikte gebruikers bij 80 organisaties tussen maart en oktober 2026. Op 2 november 2026 werden er volgens de berichtgeving dagelijks nieuwe landingspagina’s gemeld.
Van advertentie naar nepwaarschuwing
Na een klik verscheen een waarschuwing die onder meer meldingen van System Error en Windows Firewall nabootste, met een nepchat en een telefoonnummer. Het doel was bezoekers ertoe te brengen een frauduleuze helpdesk te bellen.
NeoTeo schreef eerder over een andere campagne met valse Windows- en macOS-waarschuwingen via Google Ads. De Azure-pagina’s hoorden bij een afzonderlijk gemelde supportscam.
Waarom het telefoonnummer kon wisselen
Volgens PIXM haalde JavaScript via JSONP, een techniek om gegevens met een script op te vragen, een telefoonnummer op bij een centrale dienst. Een parameter voor advertentiebeheer bepaalde welk nummer werd getoond; de pagina bevatte ook een terugvalnummer.
Een trackingpixel registreerde volgens de berichtgeving het getoonde nummer, de campagne, de website en de advertentie-uitwisseling. Daarmee konden nummers aan advertentieplaatsingen worden gekoppeld. Tijdens een gesprek konden oplichters proberen software voor toegang op afstand te laten installeren, onnodige reparatiekosten aan te rekenen of een truc rond een terugbetaling of bank na te bootsen.
Wat de aantallen van 80 en 11 organisaties betekenen
De twee cijfers beschrijven verschillende reikwijdtes. De 80 organisaties waren in maart tot en met oktober 2026 blootgesteld aan pagina’s van dezelfde scamkit. De 11 organisaties werden gekoppeld aan de specifieke backend die PIXM onderzocht.
| Aantal organisaties | Reikwijdte | Betekenis |
| 80 | Dezelfde scamkit, maart tot en met oktober 2026 | Blootstelling aan scam-pagina’s |
| 11 | De specifieke door PIXM onderzochte backend | Organisaties die aan die backend werden gekoppeld |
Wat je doet bij zo’n waarschuwing
Bel het nummer in een onverwachte browserwaarschuwing niet. Sluit het tabblad; lukt dat niet, beëindig dan de browser geforceerd.
Organisaties kunnen gemelde infrastructuur blokkeren met DNS-controles of een secure web gateway, een filter voor webverkeer. Beperk software voor toegang op afstand tot goedgekeurde supportprocedures. Omdat de scam ook een terugvalnummer gebruikte, kan alleen de telefoondienst blokkeren onvoldoende zijn.
