Die Sicherheitsforscher David Brunsdon und Darby Wise von Infoblox haben eine bemerkenswerte Betrugskampagne enthüllt, die seit mindestens Juni 2020 aktiv ist. Das System funktioniert perfide einfach: Nutzer werden auf gefälschte Webseiten geleitet, auf denen sie eine CAPTCHA-Verifizierung durchführen sollen. Doch statt einer harmlosen Sicherheitsprüfung werden sie damit in ein Netzwerk von SMS-Betrügereien hineingezogen.
Jede dieser Seiten ist mit über einem Dutzend Telefonnummern vorkonfiguriert. Nach vier CAPTCHA-Schritten können bis zu 60 SMS an 15 verschiedene Nummern automatisch versendet werden – ohne dass der Nutzer dies bewusst wahrnimmt. Die Kosten? Bis zu 30 Dollar pro Durchlauf. Die Telefonnummern erstrecken sich über 17 Länder, darunter Aserbaidschan, die Niederlande, Polen und die Türkei – allesamt Länder mit hohen Terminierungsgebühren oder lockerer Regulierung.
Besonders tückisch ist das Geschäftsmodell: Die Gebühren erscheinen oft erst Wochen später auf der Mobilfunkrechnung. Bis dahin haben Nutzer die fragwürdige CAPTCHA längst vergessen. Parallel profitieren die Betrüger von verzögerter Abrechnung und geteilten Einnahmen mit lokalen Telekommunikationsanbietern.
Das System nutzt auch Browser-Hijacking: Ein JavaScript-Skript manipuliert die Browser-Historie so, dass Nutzer, die den Zurück-Button drücken, unwiederbringlich zur CAPTCHA-Seite zurückgelenkt werden. Sie sitzen in einer Navigationsschleife fest.
Noch besorgniserregender ist die Verbindung zu Keitaro – einem Traffic Distribution System (TDS), das normalerweise für Malware-Verteilung missbraucht wird. Zwischen Oktober 2025 und Januar 2026 dokumentierten Infoblox und Confiant über 120 Kampagnen, die Keitaro für verschiedenste Betrügereien einsetzten. DNS-Abfragen zeigten etwa 226.000 Zugriffe auf 13.500 Keitaro-Domains.
Als besonders problematisch erweist sich auch der Missbrauch von Keitaro für Kryptowährungs-Betrug: 96 Prozent des Spam-Traffics zielte auf Wallet-Drainer ab, oft getarnt als Airdrop-Giveaways für beliebte Tokens wie SOL oder Phantom.
Die Betrugsopfer – sowohl Privatnutzer als auch Telekommunikationsanbieter – tragen erhebliche Verluste. Telekomm-Carriers zahlen Provisionen an die Betrüger, während Nutzer mit unerklärten Premium-SMS-Gebühren konfrontiert werden. Eine Meldepflicht, wie sie die DSGVO für Datenverluste vorsieht, existiert für SMS-Betrug bislang nicht – ein regulatorisches Loch, das Betrüger gezielt ausnutzen.