Сеть DoppelCart создала 119 тысяч поддельных интернет-магазинов для кражи данных банковских карт
Масштабная мошенническая операция DoppelCart объединила более 119 000 доменов, замаскированных под интернет-магазины. Их главная задача - привлечь покупателей скидками, получить платежные данные во время оформления заказа и использовать их для дальнейших атак или незаконных списаний.
Кампанию обнаружила немецкая компания Nebty, специализирующаяся на кибербезопасности и анализе цифровых угроз. Исследователи называют DoppelCart крупнейшей публично выявленной сетью фальшивых магазинов по числу доменов. Для сравнения: ранее одной из самых масштабных считалась группировка BogusBazaar, связанная примерно с 75 000 сайтов и около 850 000 мошеннических транзакций.
По данным последних проверок Nebty, свыше 105 000 магазинов DoppelCart по-прежнему работают. Большая часть доменов зарегистрирована в зоне .SHOP - на нее приходится около 2,72% всех сайтов, связанных с этой доменной зоной. При этом речь идет не о разрозненных мошенниках, а о централизованной инфраструктуре: 96% подтвержденных сайтов используют одинаковые файлы сборки и подключаются к 27 коммерческим бэкендам.
Злоумышленники копируют оформление настоящих компаний: каталоги товаров, описания, фотографии, логотипы и фирменные элементы. В некоторых случаях изображения и другие материалы загружаются напрямую с серверов легитимного бренда, благодаря чему подделка выглядит особенно убедительно. Всего сеть имитирует 44 182 бренда. В среднем на одну компанию приходится по два клона, однако отдельные торговые марки подверглись значительно более масштабной атаке.
В числе наиболее часто копируемых брендов оказались SodaStream, Velasca, CurrentBody, Daniel Wellington, Dreame, Horze, MOVA и SPARK PAWS. Для некоторых из них было создано более 30 отдельных сайтов. Посетителей заманивают скидками, которые в отдельных случаях достигают 65%. Такой подход рассчитан на пользователей, стремящихся купить популярный товар дешевле обычного и не проверяющих продавца перед оплатой.
Как отмечается в расследовании сети поддельных магазинов DoppelCart, опасность таких площадок заключается не только в неполучении оплаченного заказа. Анализ страниц оформления покупки показал наличие программного кода, который собирает сведения о банковской карте и ее владельце. Среди потенциально похищаемых данных - номер карты, срок действия, код безопасности, имя держателя и другая информация, вводимая в платежную форму.
Собранные сведения передаются в режиме реального времени на управляющую инфраструктуру злоумышленников через WebSocket-соединения. Кроме того, отдельные версии вредоносного кода способны перехватывать одноразовый код подтверждения, который банк отправляет клиенту. Это позволяет преступникам попытаться обойти дополнительные механизмы защиты и завершить операцию от имени владельца счета.
Такая схема представляет собой классический пример, когда фишинговые сайты и поддельные интернет-магазины маскируются под обычные торговые площадки. Пользователь может увидеть знакомый бренд, профессионально оформленный каталог, страницу доставки и даже раздел поддержки. Однако после оплаты он не получает товар, а его платежные данные оказываются у операторов мошеннической сети.
Дополнительную опасность создает использование настоящих контактных данных компаний. На некоторых сайтах DoppelCart указывается адрес службы поддержки реального бренда. Если покупатель не получает заказ, он обращается к настоящей компании, которая сама может не знать о существовании поддельной площадки. Это повышает нагрузку на службу поддержки и одновременно помогает мошенникам дольше сохранять правдоподобный вид своих сайтов.
Чтобы снизить риск, пользователям важно понимать, как проверить интернет-магазин на мошенничество еще до ввода платежной информации. Следует внимательно изучить домен, проверить дату его регистрации, сравнить адрес сайта с официальными страницами бренда, поискать независимые отзывы и убедиться, что условия возврата изложены подробно и юридически корректно. Слишком большая скидка, отсутствие реального телефона, ошибки в текстах и требование срочно оплатить заказ должны рассматриваться как тревожные признаки.
Для дополнительной защиты не стоит переходить в магазин по рекламным объявлениям с подозрительно низкими ценами. Безопаснее самостоятельно открыть официальный сайт производителя и найти список авторизованных продавцов. Также желательно использовать отдельную виртуальную карту с ограниченным лимитом, включить уведомления о транзакциях и не сообщать продавцу коды из банковских сообщений, если операция вызывает сомнения.
Nebty создала поисковую базу, которая помогает компаниям выявлять сайты, имитирующие их бренды, и реагировать на злоупотребления. Организациям рекомендуется регулярно отслеживать появление подозрительных доменов, защищать фирменные материалы и оперативно направлять жалобы регистраторам и хостинг-провайдерам. Именно такие меры составляют основу направления "кибербезопасность для интернет-магазинов".
Проблема DoppelCart показывает, что кража данных банковских карт в интернете все чаще осуществляется не через очевидные вредоносные программы, а через внешне обычные страницы оплаты. Поэтому защита от мошеннических интернет-магазинов должна включать не только антивирус и фильтрацию рекламы, но и внимательное поведение самого покупателя. Даже HTTPS-сертификат не доказывает честность продавца: он шифрует соединение, но не подтверждает легальность бизнеса.
По словам представителей Nebty, специалисты пытались связаться с главным хостинг-провайдером, обслуживающим сайты DoppelCart, однако не получили ответа. Это подчеркивает сложность борьбы с распределенными мошенническими сетями: после блокировки одного домена злоумышленники могут быстро зарегистрировать новый и перенести на него ту же инфраструктуру.
Сохранение бдительности остается наиболее эффективной первой линией обороны. Перед покупкой стоит проверить продавца по нескольким независимым каналам, не хранить данные карты на неизвестных сайтах и регулярно просматривать банковские операции. При обнаружении подозрительной транзакции необходимо немедленно связаться с банком, заблокировать карту и сообщить о мошенническом ресурсе.
