Contexte et acteurs

Une enquête récente a identifié le groupe Help TDS comme étant lié à la société Hotejka. Les deux entités seraient à l’origine de l’enregistrement de plus de 20 000 domaines sur la plateforme Cloudflare Pages. Ces domaines sont utilisés pour héberger des sites factices qui imitent des services d’assistance technique, dans le but de soutirer des informations personnelles ou financières aux victimes.

Cloudflare Pages propose un service d’hébergement statique gratuit, basé sur un réseau de diffusion de contenu (CDN) réparti sur plus de 200 points de présence mondiaux. Le modèle de facturation à l’usage et la procédure d’enregistrement simplifiée permettent à quiconque de créer rapidement un site web sans serveur dédié, ce qui facilite la mise en place d’infrastructures frauduleuses à grande échelle.

Mécanismes d’hébergement des arnaques

Les sites frauduleux exploitent les fonctionnalités de Cloudflare Pages telles que le support TLS automatique, le routage DNS intégré et les fonctions de mise en cache côté bord. En publiant un simple dépôt Git contenant du HTML et du JavaScript, les opérateurs de Help TDS peuvent générer des pages qui affichent des messages d’erreur factices, des formulaires de connexion ou des scripts de redirection vers des numéros de téléphone de support technique.

Le choix d’un hébergement statique évite l’utilisation de serveurs d’application classiques, réduisant ainsi les traces de logs serveur et compliquant l’attribution d’une adresse IP d’origine. De plus, la capacité de Cloudflare à masquer l’adresse IP réelle du serveur d’origine derrière son réseau d’arrière-plan rend plus difficile le blocage par les fournisseurs d’accès ou les listes noires traditionnelles.

Les arnaques s’appuient souvent sur des techniques de social engineering : les pages affichent des messages du type « Votre ordinateur est infecté », incitant l’utilisateur à appeler un numéro de support. Le numéro affiché est généralement lié à un centre d’appel situé dans des juridictions où les recours légaux sont limités, augmentant le taux de conversion des victimes.

Impacts et réponses de la plateforme

L’utilisation de plus de 20 000 domaines représente une charge notable sur les systèmes de détection d’abus de Cloudflare. Chaque domaine nécessite une analyse individuelle pour déterminer s’il viole les conditions d’utilisation. Le volume élevé complique la mise en place de filtres automatisés basés sur les signatures de contenu, car les pages frauduleuses peuvent être modifiées rapidement via des commits Git.

Face à cette menace, Cloudflare a renforcé son processus de signalement en collaborant avec des équipes de cybersécurité tierces. Les signalements sont traités via un formulaire dédié, et les domaines confirmés comme frauduleux sont suspendus dans un délai de 24 heures. Cependant, la rotation rapide des sous‑domaines et la création de nouveaux dépôts Git permettent aux acteurs de Help TDS de contourner ces mesures, nécessitant une surveillance continue et l’application de techniques d’analyse comportementale basées sur le trafic réseau.

Pour les utilisateurs, la recommandation principale reste la vigilance : vérifier l’URL exacte, éviter de cliquer sur des liens non sollicités et ne jamais fournir d’informations sensibles à un support technique non vérifié. Du point de vue des fournisseurs de services cloud, l’incident souligne la nécessité d’équilibrer l’accessibilité du service avec des mécanismes d’abus plus proactifs, notamment l’intégration de scores de réputation de domaine et la limitation du nombre de domaines créés par une même adresse e‑mail dans un intervalle de temps donné.