Oplichters misbruiken gratis webhosting van Cloudflare voor nep-helpdesks
Onderzoekers van Infoblox hebben meer dan 16.000 domeinen van een grootschalige oplichtingscampagne opgespoord voordat de domeinen actief werden ingezet. De domeinen horen bij Help TDS, een operatie die internetgebruikers via websites en advertenties naar frauduleuze helpdesks leidt. Daar proberen oplichters slachtoffers software te laten installeren waarmee zij toegang krijgen tot hun computer.
Volgens Infoblox zit het Russischtalige affiliateprogramma Hotejka achter Help TDS. Hotejka is waarschijnlijk een voortzetting van ROI777 onder een nieuwe naam. De operatie is al sinds april 2017 actief en bestaat in verschillende vormen al jarenlang.
Hoe Help TDS werkt
Een traffic distribution system (TDS) stuurt websitebezoekers naar verschillende bestemmingen, bijvoorbeeld op basis van hun locatie of apparaat. Help TDS brengt bezoekers via gehackte websites, malafide advertenties, sociale media en spamberichten bij frauduleuze helpdesks terecht.
Renée Burton, VP Infoblox Threat Intel, zegt: "Bij oplichting via nephelpdesks denken mensen vaak aan het verkopen van overbodige antivirussoftware of het stelen van creditcardgegevens. Tegenwoordig gaat het echter om geavanceerde vormen van social engineering, waarbij cybercriminelen volledige toegang tot apparaten proberen te krijgen. Daarmee kunnen ze slachtoffers ook lang na het eerste telefoongesprek blijven oplichten."
Onderzoek naar het callcenter
In juni 2026 bracht Infoblox de werkwijze van de oplichters in kaart. Het onderzoek leidde naar een callcenter, waar een zogenaamde helpdeskmedewerker de onderzoekers eerst hielp een browserblokkade op te heffen. Daarna verwees de medewerker hen naar UltraViewer, software waarmee iemand op afstand toegang tot een computer kan krijgen. Als de onderzoekers de software hadden geïnstalleerd en toegang hadden verleend, hadden de oplichters hun computer kunnen overnemen.
Sinds april 2026 gebruikt Hotejka Cloudflare Pages om dagelijks honderden webpagina's aan te maken. Infoblox Threat Intel detecteerde in zes maanden meer dan 20.000 gerelateerde domeinen, naast 10.000 pagina's die vermoedelijk dienden voor phishing of als afleidingsmanoeuvre. De onderzoekers kunnen de domeinen inmiddels gemiddeld ongeveer zeven dagen voordat ze worden ingezet identificeren.
Het aandeel cloudklanten van Infoblox dat met deze dreiging in aanraking kwam, daalde van maximaal 4 procent op één dag naar minder dan 0,5 procent in september.
Het volledige onderzoek is hier te vinden.
Meer over Security
Over Wouter Hoeffnagel
