Estafadores están utilizando Microsoft Azure para alojar alertas de seguridad falsas de Windows, con el objetivo de presionar a los usuarios para que llamen a números de soporte fraudulentos. Entre marzo y octubre de 2026, este kit de soporte falso afectó a usuarios de 80 organizaciones, y la operación continúa activa con la creación diaria de nuevas páginas de destino.

Los estafadores están abusando de Microsoft Azure para alojar alertas de seguridad de Windows falsas que presionan a los usuarios para que llamen a números de soporte fraudulentos.

Entre marzo y octubre de 2026, el mismo kit de soporte falso de Microsoft llegó a usuarios de 80 organizaciones. Hasta el 2 de noviembre, seguían apareciendo nuevas páginas de destino a diario, lo que demuestra que la operación seguía activa.

Estas cifras describen la exposición a páginas de estafa, no 80 brechas de red confirmadas. El ataque comienza con un anuncio en un sitio web legítimo.

Al hacer clic en él, el visitante es enviado a una página alojada en Azure que muestra mensajes de seguridad alarmantes y un chat de soporte falso.

Estafas similares de soporte técnico de Azure han utilizado anuncios de Bing para llegar a usuarios empresariales, demostrando cómo las colocaciones pagadas pueden convertir una navegación rutinaria en un encuentro peligroso.

Investigadores de PIXM identificaron el kit de estafa y rastrearon parte de su infraestructura de soporte en una investigación del 2 de noviembre.

Los estafadores usan Microsoft Azure

Su análisis describe una estafa de soporte basada en el navegador en lugar de una infección de malware confirmada. Las páginas de destino de Azure imitan advertencias de “Error del Sistema” y “Firewall de Windows”, con cada elemento dirigiendo a los visitantes hacia un número gratuito.

Detrás de la pantalla de advertencia, JavaScript solicita un número de teléfono a un servicio central utilizando JSONP, una técnica que carga una respuesta a través de un script.

Un parámetro de administrador de anuncios indica al servicio qué número de operador debe devolver. Esto permite a los organizadores cambiar los números en las páginas desplegadas sin tener que reconstruir cada sitio. El código también incluye un número de respaldo si la solicitud falla.

Un píxel de seguimiento registra el número mostrado, la campaña, el sitio web del editor y el intercambio de anuncios. Estos detalles ayudan a los operadores a conectar las llamadas entrantes con campañas publicitarias particulares.

La configuración se asemeja al marketing legítimo de pago por llamada, pero las llamadas se originan en advertencias de seguridad engañosas. La lista de administradores pasó de tres nombres en mayo a cuatro en julio, lo que sugiere la participación de varias personas en lugar de una sola persona manteniendo cada página.

La técnica general recuerda a otras campañas de alertas de seguridad falsas de Microsoft que utilizan páginas desechables alojadas en la nube para canalizar a los visitantes hacia centros de llamadas de estafa.

Sin embargo, la atribución de PIXM tiene un límite importante: el back-end específico que investigaron representó la exposición en 11 organizaciones. Otras operaciones utilizaron la misma página falsa en el grupo más amplio de 80 organizaciones.

Pistas de infraestructura, riesgos empresariales y defensas

Varias pistas sugieren desarrolladores que hablan mandarín y conexiones con China continental. Los comentarios de los scripts y los mensajes de error utilizaban chino simplificado, mientras que una familia de páginas mostraba un aviso de pantalla completa chino copiado.

El servicio telefónico exponía una página predeterminada del panel de servidor BaoTa en chino. Los registros de registro también enumeraban una dirección en Hubei, aunque PIXM subrayó que la información de registro autodeclarada por sí sola no puede establecer una atribución.

Los datos de seguimiento identificaron colocaciones asociadas con Whitepages, Legacy.com, Us Weekly, MSN, KMBC, WordHippo, el correo web de Juno y la sección de salud de US News & World Report.

PIXM afirmó que estos editores no fueron cómplices. Los anuncios pasaron a través de intercambios programáticos y los revisores no necesariamente vieron el mismo destino presentado a los visitantes seleccionados.

El peligro inmediato es la conversación que sigue a la advertencia. Los estafadores suelen persuadir a quienes llaman para que instalen software de acceso remoto, cobran por reparaciones innecesarias o introducen esquemas de reembolso e imitación bancaria.

Ataques independientes de suplantación de Microsoft Teams muestran cómo el software de gestión remota legítimo también puede convertirse en un canal de acceso cuando aceptas instrucciones de un impostor. Esa comparación no establece el despliegue de malware en esta campaña.

Si quieres defenderte, debes bloquear la infraestructura maliciosa listada a través de controles de DNS o puertas de enlace web seguras, y restringir el software de acceso remoto a flujos de trabajo de soporte aprobados. Debes cerrar las pestañas sospechosas o forzar la salida del navegador en lugar de llamar a los números mostrados.

Bloquear el servicio telefónico interrumpe la entrega dinámica de números, pero el número de respaldo significa que esto no debe considerarse como una protección completa. El hecho de que el alojamiento en la nube sea confiable no hace que una advertencia renderizada sea digna de confianza.

Fuentes:
https://cybersecuritynews.com/scammers-use-microsoft-azure/