NoticiasNews

Help TDS: más de 20,000 dominios en Cloudflare Pages alojan falsas alertas de soporte técnico de WindowsHelp TDS: 20,000+ Cloudflare Pages Domains Host Fake Windows Tech Support Scams

2026-10-16

Según The Hacker News (15 de octubre de 2026), que recoge un análisis de Infoblox, la red de distribución de tráfico Help TDS, activa desde al menos 2017, está vinculada al programa de afiliados ruso Hotejka, sospechoso de ser el sucesor de ROI777. Desde abril de 2026 los estafadores usan sitios gratuitos de Cloudflare Pages (*.pages.dev) y han creado unas 300 páginas desechables al día, con más de 20,000 dominios detectados.

Cómo funciona la estafa

  • La víctima llega desde un sitio comprometido (muchos son WordPress), un anuncio malicioso, SEO spam o un correo.
  • El sistema identifica el navegador, la ubicación y la reputación de la IP, y decide a dónde enviarla.
  • Algunas víctimas ven un falso aviso de actualización de Windows y luego una alerta de que Microsoft bloqueó su equipo, con la orden de no reiniciar y llamar a un supuesto soporte técnico.
  • En la llamada, el estafador pide instalar una herramienta de escritorio remoto, como UltraViewer, y obtiene control total del equipo.

Infoblox subraya que el objetivo es el acceso remoto y el malware que usa herramientas legítimas del sistema, no solo el fraude con tarjetas, y que los atacantes pueden volver a contactar a la misma víctima.

Por qué importa a equipos de soporte

Estas campañas funcionan porque el usuario no sabe cuál es el canal oficial de ayuda. Cuando una empresa no tiene un canal de soporte claro, los empleados y clientes buscan ayuda donde aparezca primero. Conviene definir y comunicar un único canal oficial, prohibir la instalación de herramientas remotas sin autorización de TI y registrar cada solicitud.

Un helpdesk ordenado ayuda justamente en eso. Con Servigo365, la mesa de ayuda de TEKFENIX, cada solicitud queda como ticket con historial y SLA a través de canales oficiales, de modo que el equipo sabe qué se pidió, quién lo atendió y qué acceso remoto se autorizó. Y en sucursales con Nexturno, la atención presencial y por cita deja claro quién atiende y cuándo, reduciendo la confusión que aprovechan los estafadores. Fuente: The Hacker News / Infoblox.

According to The Hacker News (October 15, 2026), citing Infoblox research, the Help TDS traffic distribution system, active since at least 2017, is linked to the Russian-language Hotejka affiliate program, suspected to be the successor of ROI777. Since April 2026 the scammers have used free Cloudflare Pages sites (*.pages.dev), creating about 300 disposable pages a day, with more than 20,000 domains detected.

How the scam works

  • The victim arrives from a compromised site (many are WordPress), a malicious ad, SEO spam or an email.
  • The system fingerprints the browser, location and IP reputation and decides where to send them.
  • Some victims see a fake Windows update notice, then an alert that Microsoft disabled their PC, with instructions not to restart and to call a fake support line.
  • On the call, the scammer asks the victim to install a remote desktop tool such as UltraViewer, gaining full control of the machine.

Infoblox stresses that the goal is remote access and living-off-the-land malware, not just card fraud, and that attackers can return to the same victim.

Why it matters to support teams

These campaigns work because users do not know the official help channel. When a company has no clear support channel, employees and customers look for help wherever it shows up first. Define and communicate a single official channel, ban unauthorized remote tools, and log every request.

An orderly helpdesk helps exactly there. With Servigo365, the TEKFENIX helpdesk, each request becomes a ticket with history and SLA through official channels, so the team knows what was asked, who handled it and which remote access was authorized. And in branches, Nexturno keeps in-person and appointment-based service clear about who attends and when, reducing the confusion scammers exploit. Source: The Hacker News / Infoblox.

← Volver al blog← Back to blog