Reklamy na legalnych witrynach miały kierować użytkowników na strony hostowane w Microsoft Azure. Podrobione alerty Windows nakłaniały ich do telefonu na fałszywą infolinię. Według relacji Cyber Security News, opisującej ustalenia PIXM, nowe strony pojawiały się codziennie według stanu na 2 listopada 2026 r.
To odrębny przypadek od fałszywych alarmów Windows i macOS opisywanych wcześniej przez NeoTeo. Tutaj oszustwo miało prowadzić od kliknięcia reklamy do rozmowy z osobami podszywającymi się pod pomoc techniczną.
Od reklamy do fałszywego alertu Windows
Po kliknięciu reklamy na legalnej stronie użytkownik trafiał na stronę w Azure. Ta naśladowała ostrzeżenia systemowe, między innymi komunikaty „System Error” i „Windows Firewall”, i wyświetlała czat oraz numer telefonu. W relacji opisano oszustwo przeglądarkowe, którego celem było skłonienie odwiedzającego do kontaktu z fałszywym wsparciem.
Podczas rozmowy oszuści mogli nakłaniać do instalacji narzędzia zdalnego dostępu, opłacenia niepotrzebnej naprawy albo udziału w oszustwie związanym ze zwrotem pieniędzy lub podszywaniem się pod bank. To możliwe scenariusze opisane w relacji, a nie potwierdzone skutki dla konkretnych osób.
Jak strona wybierała numer telefonu
Według opisu JavaScript pobierał numer z centralnej usługi za pomocą JSONP. To sposób przekazywania danych, w którym odpowiedź serwera trafia do strony jako skrypt. Parametr powiązany z menedżerem reklam wybierał numer operatora, a strona miała też numer zapasowy.
Piksel śledzący rejestrował wyświetlony numer, kampanię, witrynę wydawcy i giełdę reklamową. Pozwalało to łączyć numery z konkretnymi miejscami emisji reklam. Zapasowy numer oznaczał też, że zablokowanie samej usługi telefonicznej mogło nie zatrzymać całego schematu.
Co oznaczają liczby 80 i 11 organizacji
PIXM przypisano szerszy zasięg tego samego zestawu oszustwa oraz węższy zakres organizacji powiązanych z badanym zapleczem:
| Liczba | Zakres | Znaczenie |
| 80 organizacji | Marzec–październik 2026 r. | Użytkownicy tych organizacji mieli zetknąć się ze stronami korzystającymi z tego samego zestawu oszustwa. |
| 11 organizacji | Zaplecze badane przez PIXM | Z tym konkretnym zapleczem powiązano 11 organizacji. |
Obie liczby dotyczą ekspozycji na strony oszustwa lub powiązania z jego zapleczem. Nie oznaczają potwierdzonych włamań do sieci tych organizacji.
Jak zareagować na podejrzane ostrzeżenie
Jeśli przeglądarka pokazuje alarm z numerem telefonu do „pomocy technicznej”, zamknij podejrzaną kartę lub zakończ działanie przeglądarki. Nie dzwoń pod numer wyświetlony na stronie. W organizacji zespoły bezpieczeństwa mogą blokować rozpoznaną infrastrukturę przez kontrolę DNS lub bezpieczną bramę internetową, a narzędzia zdalnego dostępu ograniczyć do zatwierdzonych procedur wsparcia.
