Eine Werbeanzeige auf einer legitimen Website führte laut einem Bericht von Cyber Security News zu einer auf Microsoft Azure gehosteten Seite mit gefälschter Windows-Warnung und Support-Chat. Die Seite sollte Besucher dazu bringen, eine betrügerische Supportnummer anzurufen. Der Bericht gibt Ergebnisse von PIXM wieder: Zwischen März und Oktober 2026 waren Nutzer in 80 Organisationen dem Betrugs-Kit ausgesetzt; zum 2. November 2026 wurden täglich neue Landingpages gemeldet.
Der Fall knüpft an NeoTeos frühere Berichterstattung über Scareware-Anzeigen an. Hier führte der berichtete Klick zu gefälschten Windows-Hinweisen auf Azure-Seiten und einer falschen Supportnummer.
Von der Anzeige zur gefälschten Warnseite
Nach dem Klick auf eine Anzeige öffnete sich dem Bericht zufolge eine Browserseite, die Warnungen wie „System Error“ und „Windows Firewall“ nachahmte. Ein falscher Support-Chat und eine gebührenfreie Telefonnummer sollten den Eindruck verstärken, der Rechner brauche sofort Hilfe. Azure diente dabei als Hosting für die Seiten.
Der Bericht beschreibt mögliche Folgen während eines Gesprächs: Die Betrüger könnten versuchen, Nutzer zur Installation von Fernzugriffssoftware zu bewegen, unnötige Reparaturen zu berechnen oder sie mit Rückerstattungs- und Bank-Imitationen zu täuschen.
Wie die Betrugsseite ihre Telefonnummer auswählte
Laut Bericht rief JavaScript eine Telefonnummer bei einem zentralen Dienst ab. Ein Parameter aus der Anzeigenverwaltung bestimmte, welche Nummer eines Operators angezeigt wurde; zusätzlich war eine Ersatznummer hinterlegt. Ein Tracking-Pixel erfasste die angezeigte Nummer, die Kampagne, die Website und die Werbebörse. Damit ließ sich die Nummer einer Werbeplatzierung zuordnen.
Was 80 und 11 Organisationen bedeuten
Die beiden Zahlen beziehen sich auf unterschiedliche Bereiche des berichteten Falls. Das Kit erreichte Nutzer in 80 Organisationen; 11 Organisationen wurden dem konkreten Backend zugeordnet, das PIXM untersuchte.
| Zahl | Erfasster Umfang | Zeitraum oder Einordnung |
| 80 | Organisationen, deren Nutzer den Seiten des gleichen Betrugs-Kits ausgesetzt waren | März bis Oktober 2026 |
| 11 | Organisationen, die dem untersuchten Backend zugeordnet wurden | Das konkrete Backend, das PIXM untersuchte |
Die 80 zählen die Exposition gegenüber den Betrugsseiten, keine bestätigten Netzwerkkompromittierungen. Auch die 11 sind keine Zahl bestätigter Einbrüche.
So reagieren Nutzer und IT-Teams
Wer auf eine solche Warnseite stößt, sollte sie schließen und die angezeigte Nummer nicht anrufen. Wenn sich der Tab nicht schließen lässt, empfiehlt der Bericht, den Browser zu beenden.
IT-Teams können bekannte Infrastruktur über DNS-Filter oder Secure Web Gateways sperren und Fernzugriffssoftware auf freigegebene Supportabläufe beschränken. Eine Sperre des Telefondienstes allein kann wirkungslos bleiben, weil die Seite laut Bericht auch eine Ersatznummer bereithielt.
