Исследователи немецкой компании Nebty обнаружили крупнейшую из публично описанных сетей фальшивых интернет-магазинов. Кластер получил название DoppelCart и включает почти 119 тыс. доменов, преимущественно в зоне .shop. Более 105 тыс. сайтов оставались активными на момент публикации исследования.
Сеть не просто имитирует отдельные магазины: её операторы массово копируют сайты реальных брендов и используют их для кражи платёжных и персональных данных покупателей.
По данным Nebty, в кластер входили 118 787 доменов .shop — это около 2,72% от числа доменов в этой зоне, изученных исследователями.
Поддельные магазины копируют:
- каталоги товаров;
- описания и изображения;
- логотипы и фирменный стиль;
- элементы оформления настоящих сайтов;
- иногда даже адреса службы поддержки реальных компаний.
Однако наличие HTTPS, аккуратного дизайна и знакомого логотипа не доказывает, что магазин настоящий. Шифрование защищает соединение, но не подтверждает добросовестность владельца сайта.
В результате пользователь может попасть на страницу, которая визуально почти не отличается от оригинального интернет-магазина. При этом жалобы на неполученный заказ иногда направляются настоящему бренду, чей адрес поддержки использовали мошенники.
Исследователи связывают сайты в сеть не только по внешнему виду. 96% подтверждённых магазинов использовали одинаковые файлы сборки, а вся инфраструктура была связана всего с 27 разработчиками.
Всего DoppelCart имитирует более 44 тыс. брендов. В среднем на один бренд приходилось по два клона, но некоторые компании стали целью особенно массовой кампании: у SodaStream, Velasca, CurrentBody, Daniel Wellington, Dreame, Horze, MOVA и SPARK PAWS было обнаружено более 30 копий.
Сайты привлекают покупателей скидками до 65%, рассчитывая на то, что крупная экономия подтолкнёт человека к быстрой покупке и не оставит времени на проверку домена, реквизитов компании и условий возврата.
Основная цель DoppelCart — сбор информации на странице оформления заказа. Вредоносный код может перехватывать:
- номер банковской карты;
- срок действия;
- CVV/CVC-код;
- имя владельца;
- адрес электронной почты;
- номер телефона;
- физический адрес;
- одноразовый код подтверждения от банка.
Похищенные данные передаются на серверы злоумышленников в режиме реального времени через WebSocket-соединения. Благодаря этому атакующие могут получать информацию непосредственно во время оформления заказа.
Особенно опасна возможность перехвата одноразового кода банка. Такой код может использоваться преступниками для подтверждения операции, пока жертва ещё находится на поддельной странице оплаты. Поэтому сам факт наличия двухфакторной аутентификации не гарантирует безопасность, если пользователь вводит код на сайте мошенников.
Исследователи называют DoppelCart крупнейшим публично описанным кластером фальшивых магазинов по числу связанных доменов. Для сравнения: ранее сеть BogusBazaar объединяла около 75 тыс. сайтов и, по оценкам, могла быть связана примерно с 850 тыс. мошеннических транзакций.
Фальшивые магазины превратились в промышленную модель мошенничества. Операторы используют общую инфраструктуру, шаблоны и автоматизированное клонирование, поэтому могут быстро создавать новые сайты после блокировки отдельных доменов.
Как защититься покупателям?
Переходить в магазин через официальное приложение, сохранённую закладку или адрес, который уже известен пользователю, а не через рекламную ссылку в поиске или соцсетях.
Внимательно проверять домен: даже небольшое отличие в написании может указывать на копию.
Относиться к необычно большой скидке как к сигналу для дополнительной проверки.
Искать точный адрес сайта вместе со словами «отзывы» или «мошенники».
Сверять реквизиты, контакты и условия возврата с информацией на официальном сайте бренда.
Оплачивать покупки картой или сервисом с защитой покупателя.
Не использовать для сомнительных покупок криптовалюту, банковский перевод или подарочные карты.
Проверять каждое банковское уведомление: название продавца и сумму операции.
Никому не сообщать одноразовый код подтверждения.
Если данные карты уже введены на подозрительном сайте, необходимо как можно скорее связаться с банком, заблокировать или заменить карту, проверить операции и сохранить скриншоты, переписку, адрес сайта и подтверждение заказа.
Для компаний Nebty подготовила поисковую базу, которая помогает выявлять сайты, копирующие бренды, и направлять обращения по поводу злоупотребления торговой маркой.
С заботой о вашей безопасности, команда Origin Security
Источник изображения: Magnific.com
