Немецкий стартап Nebty выявил мошенническую сеть DoppelCart, работающую на 119 000 доменов. Поддельные магазины копируют реальные бренды, привлекают покупателей высокими скидками до 65%, а затем похищают данные банковских карт при оформлении заказа.
Большинство связанных доменов зарегистрировано в зоне .shop — они составляют 2,72% всех сайтов этой доменной зоны. Из них около 105 000 остаются активными на момент исследования. По масштабам DoppelCart превосходит известную ранее сеть BogusBazaar, в которую входило около 75 000 поддельных сайтов.
Исследователи обнаружили, что 96% сайтов сети построены на одной технической основе и обслуживаются всего 27 бэкендами. Мошенники скопировали 44 182 бренда. В среднем на каждый бренд приходится по два клона, но для популярных названий вроде SodaStream, Daniel Wellington или Dreame создано свыше 30 вредоносных копий.
Фальшивые магазины дублируют каталоги, описания товаров, изображения и оформление оригинальных сайтов. Некоторые даже загружают контент непосредственно с серверов настоящих компаний.
На страницах оплаты Nebty обнаружила веб-скиммер — вредоносный код, собирающий номера карт, сроки действия, CVV/CVC-коды, имена владельцев, email-адреса, телефоны и физические адреса. Данные в реальном времени отправляются управляющему серверу через WebSocket. Код способен перехватывать одноразовые коды подтверждения, которые отправляют банки.
Часть фальшивых магазинов указывает настоящие контакты службы поддержки скопированного бренда. Обманутые покупатели, не получившие товар, обращаются с претензиями к реальной компании.
Nebty создала базу данных, где компании могут проверить, используется ли их бренд в мошеннической сети, и выявить связанные с DoppelCart сайты. Попытки связаться с основным хостинг-провайдером инфраструктуры результата не дали.
