Em 19 de outubro de 2026, a Dark Reading noticiou que pesquisadores da Infoblox obtiveram acesso ao painel de afiliados do Help TDS e relatou a ligação feita por Renée Burton, vice-presidente de inteligência contra ameaças da Infoblox, a um suposto atendente da Microsoft. O Help TDS encaminha parte dos visitantes a alertas fraudulentos que pedem uma ligação e podem levar a uma tentativa de instalar um programa de acesso remoto.
Como o Help TDS leva visitantes ao golpe
Help TDS é um sistema de distribuição de tráfego, conhecido pela sigla TDS, que direciona visitantes a destinos escolhidos por afiliados. A Infoblox diz que o sistema atua ao menos desde abril de 2017 e avalia que a Hotejka o opera, além de relacionar o programa à antiga operação ROI777.
Afiliados conduzem potenciais vítimas ao sistema por sites comprometidos, anúncios maliciosos, publicações em redes sociais e spam. O Help TDS analisa características do navegador e a localização do visitante, entre outros sinais, para decidir se o encaminha ao golpe de suporte técnico ou a outro destino comercial de afiliados. Em 2026, a Infoblox identificou cerca de 20 afiliados, entre eles Balada Injector, Detour Dog e DollyWay.
O painel de afiliados oferecia campanhas com alertas falsos que imitavam avisos de segurança da Microsoft, além de outras opções para monetizar tráfego, segundo o relato da Dark Reading. Na rota de falso suporte, uma mensagem simulava uma atualização necessária; em seguida, um aviso dizia que o computador havia sido desativado pela Microsoft. Um bloqueio do navegador, alarmes e uma voz gravada pressionavam a pessoa a ligar para o número exibido, de acordo com a descrição da Infoblox.
A ligação levava a uma tentativa de acesso remoto
Em meados de junho de 2026, pesquisadores da Infoblox visitaram um site comprometido, encontraram o bloqueio no navegador e ligaram para o número apresentado. A Dark Reading informou que a ligação de Burton durou 13 minutos. O suposto atendente fez perguntas e orientou a pesquisadora a baixar o UltraViewer, um programa de acesso remoto. A ligação terminou depois que Burton questionou por que precisava instalar outro software.
O pedido de instalação é o ponto em que o golpe pode passar de uma chamada enganosa ao acesso ao computador. A Microsoft alerta que golpistas podem usar programas de acesso remoto para controlar o dispositivo e exibir mensagens comuns do sistema como se fossem sinais de problemas.
Um plugin malicioso também coletava dados do WordPress
A GoDaddy estima que o plugin malicioso woocommerce_inputs tenha sido instalado em mais de 10 mil sites no mundo. Segundo a empresa, a versão 1.5 coletava nomes de usuário, endereços de e-mail, nomes de exibição e URLs de sites WordPress e enviava esses dados ao servidor de comando e controle da operação.
Apesar do nome, a GoDaddy afirma que o plugin não foi desenvolvido nem tem afiliação com WooCommerce ou Automattic. Nesse caso, o software comprometia sites e podia redirecionar visitantes; o envio dos dados de usuários acrescentava outro risco para as contas e os próprios sites afetados.
O que os números de alcance e detecção mostram
A Infoblox relata que a Hotejka criava cerca de 300 sites no Cloudflare Pages por dia. Até meados de setembro de 2026, a empresa havia detectado mais de 16 mil domínios que a Hotejka usaria posteriormente no Help TDS. O total de domínios associados detectados pela Infoblox era de cerca de 30 mil, uma contagem de escopo mais amplo.
A Infoblox também informou que seu método de detecção identificava novos domínios cerca de sete dias antes de serem usados no Help TDS, tanto na média quanto na mediana. A empresa atribuiu às novas técnicas de detecção a menor exposição registrada entre seus próprios clientes de nuvem em setembro.
| Período e condição | Exposição entre clientes de nuvem da Infoblox |
| Um único dia após a migração para o Cloudflare Pages | Até 4% |
| Setembro de 2026, após novas técnicas de detecção | Abaixo de 0,5% |
Como reconhecer o suporte legítimo da Microsoft
A Microsoft afirma que suas mensagens legítimas de erro e alerta nunca incluem números de telefone e que a empresa não faz ligações não solicitadas para oferecer suporte técnico. Se um aviso pedir que você ligue para um número, não use esse contato. Para obter ajuda, inicie o atendimento pelo Get Help na web ou no Windows, que pode oferecer autoatendimento ou encaminhar o caso ao canal adequado. A página de suporte oficial da Microsoft apresenta essas opções.
