Investigadores de seguridad han revelado que el sistema de distribución de tráfico Help TDS, activo desde al menos 2017, ha utilizado más de 20.000 dominios de Cloudflare Pages en solo seis meses para redirigir a las víctimas hacia falsas alertas de seguridad de Microsoft y centros de llamadas fraudulentos, en una operación vinculada al proyecto ruso Hotejka.
El hallazgo, publicado por Infoblox, describe una infraestructura que combina ingeniería social clásica con abuso de servicios legítimos de alojamiento. Help TDS no es un malware que se instala silenciosamente.
Es una máquina de engaño que lleva al usuario a llamar por teléfono, convencerle de que su ordenador está infectado y persuadirle de que instale herramientas de acceso remoto para que un supuesto técnico lo “repare”.
3 Vulnerabilidades graves en los televisores LG webOS permiten obtener acceso root sin PIN
¿Qué es Help TDS y cómo funciona?
Help TDS es un sistema de distribución de tráfico (Traffic Distribution System) que actúa como intermediario entre el atacante y la víctima. No aloja el contenido fraudulento directamente, sino que decide a qué usuario redirigir y a qué página enviarlo.
Las víctimas llegan a TDS desde múltiples fuentes: sitios web comprometidos, anuncios maliciosos, redes sociales y correos electrónicos no deseados. Una vez que el usuario hace clic, el sistema evalúa su perfil antes de decidir el destino. Esa evaluación incluye la huella digital del navegador (versión del sistema operativo, idioma, resolución de pantalla) y la geolocalización.
Si el perfil encaja con el objetivo, TDS redirige al usuario a la página de estafa. Si no encaja, lo envía a contenido inofensivo para evitar que el fraude sea detectado.
El hackeo a la Agencia de Ayuda Legal del Reino Unido roba datos desde 1978
Pantalla completa, sonido de alarma y bloqueo de cierre
Una vez que la víctima llega a la página de destino, se encuentra con una falsa advertencia de seguridad de Microsoft. La página ocupa la pantalla completa, reproduce sonidos de alarma, muestra mensajes de que el ordenador está infectado y bloquea el intento de cerrar la ventana. El objetivo es que el usuario no pueda salir de la página y termine llamando al número de teléfono que aparece en pantalla.
Al otro lado de la línea, un supuesto técnico de soporte convence a la víctima de que instale una herramienta de acceso remoto (como TeamViewer, AnyDesk o similares). A partir de ahí, el atacante tiene control sobre el ordenador y puede robar datos, instalar malware o pedir un pago por un servicio de “reparación” que nunca se realiza.
Cloudflare Pages como infraestructura
El aspecto más relevante del informe es el uso intensivo de Cloudflare Pages, un servicio legítimo de alojamiento de sitios estáticos que la operación ha aprovechado para alojar sus páginas fraudulentas. Desde abril de 2026, los investigadores han detectado más de 20.000 dominios utilizados por TDS en solo seis meses, junto con aproximadamente 10.000 páginas sospechosas de phishing o de señuelo.
El uso de Cloudflare Pages tiene ventajas para el atacante. Los dominios se alojan en la infraestructura de una empresa reputada, lo que puede hacer que los filtros de seguridad sean menos agresivos con ellos. Además, la creación y eliminación de páginas es rápida, lo que permite rotar los destinos con frecuencia y dificultar el bloqueo.
La conexión con Hotejka
Los investigadores vinculan Help TDS al proyecto Hotejka, una alianza en ruso que agrupa a varios actores del ecosistema del fraude. Help TDS actúa como el sistema de distribución de tráfico de esa alianza, mientras que otros miembros se encargan del alojamiento, las páginas de estafa y los centros de llamadas.
El vínculo con Hotejka sitúa a Help TDS dentro de una estructura organizada, no de una operación aislada. La alianza coordina distintos servicios que, juntos, forman una cadena completa: desde la generación de tráfico hasta la llamada telefónica y el acceso remoto al ordenador de la víctima.
¿Cómo protegerte de este tipo de estafa?
Las estafas de soporte técnico aprovechan el miedo y la urgencia. La primera defensa es saber que Microsoft no llama por teléfono ni muestra alertas de seguridad con números de soporte. Si aparece una página a pantalla completa con sonido de alarma y un número de teléfono, lo más probable es que sea un fraude.
Si no puedes cerrar la ventana con el botón habitual, puedes cerrar el navegador con Alt+F4 en Windows o Cmd+Q en macOS. Si eso tampoco funciona, abre el administrador de tareas y termina el proceso del navegador. Nunca llames al número que aparece en pantalla.
Si has llamado y has permitido el acceso remoto a tu ordenador, desconecta el equipo de la red inmediatamente, cambia las contraseñas de tus cuentas principales desde otro dispositivo y contacta con un servicio de seguridad profesional para revisar el sistema.
Para los administradores de red, la recomendación de Infoblox es monitorizar los dominios de Cloudflare Pages que resuelvan a contenido de soporte técnico y aplicar reglas de bloqueo basadas en el comportamiento, no solo en listas de dominios conocidos.
La información que aún se desconoce
Infoblox no ha especificado cuántas víctimas han caído en la estafa ni el impacto económico total de la operación. Tampoco ha detallado si Cloudflare ha tomado medidas para eliminar los dominios identificados, ni si la empresa ha colaborado con los investigadores.
La operación sigue activa. Help TDS lleva funcionando desde al menos 2017, y el pico de actividad detectado desde abril de 2026 sugiere que la infraestructura se ha expandido, no reducido. Los 20.000 dominios detectados en seis meses son solo los que los investigadores han podido identificar; el número real podría ser mayor.
Descubre más desde CIBERED
Suscríbete y recibe las últimas entradas en tu correo electrónico.
