Tekninen tuki -huijaus valtasi yli 20 000 Cloudflaren verkkosivua
Pieni venäjänkielinen kumppanuusverkosto skaalasi vanhan tukihuijauksen käyttämällä ilmaista, nopeasti vaihtuvaa Cloudflare-infrastruktuuria ja aikavyöhykkeisiin ajastettua houkutusta.
Tiivistelmä
Tietoturvayhtiö Infobloxin tutkimus paljastaa, että pieni venäjänkielinen rikollinen kumppanuusverkosto nimeltä Hotejka on valjastanut yli 20 000 ilmaista Cloudflare Pages -verkko-osoitetta tekniseen tukeen naamioituvaan huijaukseen huhtikuusta lokakuuhun 2026. Uhrit ohjataan aikavyöhykkeiden mukaan ajastetulla liikenteenohjausjärjestelmällä lukkiutuvalle selainsivulle, joka väittää Microsoftin sulkeneen koneen ja antaa soitettavaksi puhelinnumeron. Operaatio on tutkijoiden mukaan vanhan ROI777-huijauksen uusi versio, ja sen affiliaattimaksut ovat nousseet nopeasti.
Yli 20 000 ilmaista Cloudflare Pages -verkko-osoitetta on toiminut tekniseen tukeen naamioituvan huijauksen alustana huhtikuun ja lokakuun 2026 välillä, kertoo tietoturvayhtiö Infoblox tuoreessa tutkimuksessaan.
Luvun takana on Hotejka, pieni venäjänkielinen rikollinen kumppanuusverkosto, joka ratsastaa vuodesta 2017 toimineen Help TDS -liikenteenohjausjärjestelmän päällä.
Liikenteenohjausjärjestelmä (TDS)
Liikenteenohjausjärjestelmä (TDS) on rikollisten käyttämä välityspalvelu, joka ohjaa kävijän oikealle huijaussivulle sijainnin, kellonajan ja laitteen perusteella ja piilottaa sivut tutkijoilta. Ilmaiset, hetkessä korvattavat Cloudflare Pages -osoitteet tekevät koko verkoston sulkemisesta vaikeaa, koska tilalle syntyy heti uusia.
Infoblox arvioi DNS-historian, komentopalvelinten kaavojen ja jaetun affiliaattipaneelin perusteella, että Hotejka on tosiasiassa vuonna 2018 paljastuneen ROI777-pelotehuijauksen uusi nimi.
Help TDS itse on pysynyt hengissä yhdeksän vuotta. Järjestelmä toimi aiemmin King Servers -nimisellä venäläisellä hostingpalvelulla, mutta siirtyi huhtikuussa 2026 ilmaisiin Cloudflare Pages -osoitteisiin.
Tutkijat erottavat kokonaisuudesta kolme eri lukua, joita ei kannata sekoittaa toisiinsa. Yli 20 000 osoitetta on nimenomaan Help TDS:n omaa liikennettä. Niiden rinnalla toimii noin 10 000 erillistä syöttisivua, jotka nostavat koko operaation laajuuden lähelle 30 000 pages.dev-osoitetta.
Hotejka oli puolestaan ilmoittanut omalla Telegram-komentokanavallaan 16 000 osoitteesta ennen niiden käyttöönottoa. Luku on pienempi osajoukko, ei operaation kokonaismäärä.
Hotejka itse tuottaa arviolta 300 uutta pages.dev-osoitetta päivässä. Koko Cloudflare Pages -palvelussa syntyy kaikkien rikollisten yhteenlaskettuna yli 125 000 uutta aliverkkotunnusta vuorokaudessa. Luku kuvaa väärinkäytön laajuutta koko alustalla, ei yksin Hotejkan toimintaa.
Huijaus tietää kellon
Vaarantuneet WordPress-sivustot ja haitalliset mainosverkot ohjaavat kävijän liikenteen PHP-"porttien" läpi. Portit tarkistavat kävijän aikavyöhykkeen ja päästävät huijaussivulle läpi vain Yhdysvaltain itäisen ajan arkipäivinä kello 9–18.
Ensin ruudulle ilmestyy väite vanhentuneesta selaimesta tai väärä CAPTCHA-tarkistus. Sen jälkeen selain lukkiutuu kokoruudun tilaan, kaiuttimista alkaa soida hälytysääni ja ruudulle ilmestyy väärennetty "Microsoft Security" -varoitus puhelinnumeroineen.
Infoblox havaitsi aktiivisessa käytössä numerot +1 855-616-3518, +1 855-361-0064 ja +1 844-959-1966.
Infoblox kertoo tutkimuksessaan, että sen omat tutkijat soittivat yhteen numeroon kesäkuun 2026 puolivälissä. Vastaaja painosti soittajaa asentamaan UltraViewer-etähallintaohjelmiston.
Mekanismi itsessään on yleinen eikä kohdistu erityisesti suomalaisiin. Mikään lähde ei yhdistä Hotejkaa tai Help TDS:ää suomalaisiin uhreihin, mutta koko ruudun täyttävä selainlukko ja väärennetty Microsoft-varoitus tavoittavat periaatteessa kenet tahansa selaimen käyttäjän kielestä riippumatta.
Kasvava bisnes
Kumppanuusmaksut ovat kasvaneet nopeasti. Vuonna 2025 onnistuneesta puhelusta maksettiin noin 18 euroa (20 dollaria). Toukokuussa 2026 hinta oli jo noin 87 euroa (100 dollaria) per puhelu.
Hotejkan omat rekrytointi-ilmoitukset lupaavat affiliaateille noin 17 000–26 000 euron (20 000–30 000 dollarin) päivätienestejä. Infoblox arvioi koko operaation tuottaneen rikollisille vähintään muutaman miljoonan euron (muutaman miljoonan dollarin) edestä rahaa, laskettuna kahden affiliaattialustan yli.
Päätoimialue on Yhdysvallat, mutta Hotejkan rekrytointi-ilmoitukset ovat etsineet verkkoliikennettä myös Kanadaan, Ranskaan, Belgiaan, Japaniin, Ruotsiin ja Australiaan vuosien 2025–2026 aikana.
Samaa Hotejka-verkostoa kuvasi 15.10.2026 julkaistussa blogikirjoituksessaan myös Daniel Zimmermann, Gridinsoftin tietoturvatutkija, joka vahvisti Infobloxin löydökset omilla havainnoillaan.
Tunnistusmerkit
- Selainikkuna lukkiutuu kokoruudulle ja ei sulkeudu tavallisella sulkemispainikkeella.
- Kaiuttimista kuuluu kova hälytys- tai sireeniääni.
- Ruudulla näkyy laskeva ajastin.
- Varoitus väittää, että "Microsoft on poistanut tietokoneesi käytöstä".
- Ruudulla on puhelinnumero väitettyyn tietoturvatukeen.
Mitä tehdä
Älä soita ruudulla näkyvään numeroon.
Älä asenna etähallintaohjelmaa, kuten UltraVieweria, AnyDeskiä tai TeamVieweria, pyytämättömän yhteydenoton perusteella.
Älä maksa lahjakorteilla, tilisiirrolla tai kryptovaluutalla.
Sulje selain Tehtävienhallinnasta tai Force Quitilla, ei koskaan lukkoruudun omasta sulkemispainikkeesta.
Jos ohjelma on jo asennettu, katkaise internetyhteys ja pyydä apua sen poistamiseen.
Ilmoita huijaussivusta Cloudflaren väärinkäyttökanavaan, koska sivut toimivat nimenomaan pages.dev-osoitteissa. Tee ilmoitus myös poliisin nettivinkki-lomakkeella, ja ota yhteys omaan pankkiin välittömästi, jos rahaa tai tunnuksia on jo ehtinyt luovuttaa.
Lähteet
- Infoblox Threat Intel (15.10.2026)
- Gridinsoft (15.10.2026)