FRITZ! и Dreame: 119 000 поддельных интернет-магазинов принимают данные вашей карты при оформлении заказа

Поиск по запросу «робот-пылесос» или «новый FRITZ!Box» может привести вас на поддельную страницу. Мюнхенская компания nebty, специализирующаяся на вопросах безопасности, задокументировала сеть из 119 012 подтверждённых доменов интернет-магазинов. Полная база данных теперь доступна для общественности. На этих страницах используются фотографии товаров, описания и общий дизайн сайтов реальных розничных продавцов. В некоторых случаях графические элементы загружаются напрямую с собственного сервера изображений компании-оригинала. Только под доменом .shop компания nebty насчитала 118 787 таких адресов. Это составляет 2,72 процента от 4 361 908 доменов .shop, проанализированных ею. Крупнейшей сопоставимой сетью, о которой до сих пор было известно общественности, являлась BogusBazaar, число доменов которой в 2024 году достигло примерно 75 000.

Немецкие покупатели в данном контексте не являются исключением. В базе данных перечислены 12 интернет-магазинов, в названии которых фигурирует бренд FRITZ! Среди них — avmonline.shop, fritzstore.shop и fritzdirect.shop. Все 12 сайтов были классифицированы как, вероятно, действующие на момент нашей проверки 13 сентября. На долю производителя роботов-пылесосов Dreame приходится 72 записи. Ранее в этом году мы проводили обзор его пылесоса L10s Ultra Gen 3. На некоторых из этих сайтов в заголовке страницы указано «DREAME Stores Deutschland». Другие представляются в качестве региональных представительств в Италии, Франции, Испании и Бельгии. В списке также фигурируют компании EcoFlow, Bluetti, Roborock, Narwal, Jackery, Keychron, HyperX и Sennheiser.

Адрес службы поддержки принадлежит настоящему производителю

Единственная деталь, которую проверяют покупатели, не позволяет отличить эти магазины от подлинных. Многие из них указывают адрес службы поддержки бренда, который они копируют. Сайт dreametechpro.shop указывает в качестве контактного адреса [email protected] — адрес, находящийся в домене самого настоящего производителя. Покупатель, чей заказ так и не поступил, обращается с жалобой в компанию, которая никогда не видела этого заказа. Сотрудникам службы поддержки этой компании затем приходится объяснять, куда делись деньги и товар. В базе данных nebty насчитывается 2 494 таких раскрытых контактных адреса.

Такая же схема проявилась на прошлой неделе в компании Trezor, где фишинговое письмо было отправлено с собственного адреса производителя. Копируется даже знак, который должен подтверждать подлинность магазина. Поддельные магазины добавляют ещё один уровень маскировки. На некоторых страницах используются вымышленные адреса, такие как [email protected], которые на первый взгляд выглядят вполне правдоподобно.

На странице оформления заказа данные вашей карты собираются ещё до того, как вы нажмёте кнопку «Купить»

Ущерб наносится именно на этапе оплаты. Компания nebty протестировала несколько страниц оформления заказа в сети. Она обнаружила код, который собирает номер карты, срок действия, код безопасности, имя, адрес электронной почты, номер телефона и почтовый адрес. В отчёте, предоставленном компанией изданию BleepingComputer, говорится, что данные из этих полей поочерёдно передаются через соединение WebSocket на сервер злоумышленников. Передача происходит сразу же после ввода данных. Отправка формы не требуется.

В том же отчёте отмечается, что код также может передавать одноразовый код, который банк отправляет для подтверждения платежа. Это подтверждение защищает вас от того, чтобы кто-то использовал данные вашей украденной карты в другом месте. Однако оно не защищает вас от подтверждения платежа в пользу мошенника. Именно это вы и делаете, когда утверждаете платеж самостоятельно. В публичном сообщении nebty в блоге эта информация отсутствует. Она взята из отчёта, переданного отраслевому изданию.

Как распознать подделки

Один признак сам по себе ничего не доказывает. Но несколько признаков вместе — да. Магазины рекламируют скидки до 65 процентов на подлинные товары. Адреса следуют заметной схеме: название бренда плюс заполнитель, такой как «store», «direct», «global» или «hub». Суффикс почти всегда — .shop. Генеральный директор nebty Бенедикт Шенграбер отмечает, что 96 процентов подтвержденных страниц имеют идентичные файлы сборки и ведут к 27 общим коммерческим бэкендам. Именно эта однородность и позволила выявить данную группу в первую очередь. Вы можете проверить адрес в общедоступной базе данных. Более надёжным способом является посещение официального сайта производителя и ознакомление с его списком авторизованных дилеров.

Сеть по-прежнему функционирует. На момент проведения расследования доступно оставалось более 105 000 интернет-магазинов. Компания nebty сообщает, что обратилась к хостинг-провайдеру, обслуживающему большинство этих страниц, но не получила ответа. Целенаправленные меры по удалению сайтов от имени пострадавших брендов дают результат. По наблюдениям nebty, интернет-магазины, удаленные таким образом, остаются недоступными.