Um relato sobre a investigação da PIXM descreve anúncios em sites legítimos que levavam a páginas hospedadas no Microsoft Azure. Elas imitavam alertas de segurança do Windows e exibiam um número de falso suporte. O kit teria exposto usuários de 80 organizações entre março e outubro de 2026; em 2 de novembro, novas páginas ainda eram relatadas diariamente.
Do anúncio à ligação para o falso suporte
Ao clicar no anúncio, o visitante chegava a uma página com avisos como “System Error” e “Windows Firewall”, além de um chat falso e um telefone. O objetivo era convencer a pessoa a ligar. Durante a conversa, os riscos descritos incluíam instalação de ferramentas de acesso remoto, cobranças por reparos desnecessários e golpes de reembolso ou de falsa identidade bancária.
A NeoTeo já abordou alertas falsos espalhados por anúncios no Windows e no macOS. O caso relatado aqui tem outro percurso: páginas hospedadas no Azure encaminhavam visitantes para uma ligação de falso suporte.
Como o número de telefone podia mudar
Segundo a reportagem sobre a investigação da PIXM, um código JavaScript solicitava um número a um serviço central usando JSONP, uma técnica para buscar dados por meio de uma chamada de script. Um parâmetro ligado ao gerenciamento de anúncios escolhia qual número exibir; se a solicitação falhasse, a página tinha um número de reserva.
Um pixel de rastreamento registrava o telefone exibido, a campanha, o site que veiculou o anúncio e a rede de publicidade. Assim, os operadores podiam relacionar os números apresentados às campanhas e aos espaços de anúncio.
O que os números de 80 e 11 organizações contam
A reportagem atribuiu à PIXM dois números com escopos diferentes. O primeiro diz respeito ao alcance do kit; o segundo, às organizações associadas a um backend específico examinado pela empresa.
| Número relatado | Escopo | O que conta |
| 80 organizações, entre março e outubro de 2026 | O mesmo kit de falso suporte | Usuários expostos às páginas fraudulentas em organizações alcançadas pelo kit |
| 11 organizações | Backend específico examinado pela PIXM | Organizações associadas a esse backend |
Os números descrevem exposição e associação a uma infraestrutura. Nenhum contabiliza invasões de rede confirmadas.
Como agir diante de um alerta suspeito
Se uma página exigir uma ligação para resolver um suposto problema de segurança, não ligue para o telefone exibido. Feche a aba ou encerre o navegador. Para equipes de segurança, o relato recomenda bloquear a infraestrutura identificada com controles de DNS ou gateways seguros e restringir ferramentas de acesso remoto aos fluxos de suporte autorizados. Como havia um número de reserva, bloquear apenas o serviço que fornecia os telefones poderia não interromper o golpe.
