Более 119000 доменов использует крупномасштабная сеть мнимых интернет-магазинов, чьей основной задачей является перехват и кража платежных данных обманутых потребителей. Выявившие ее исследователи обозначили ее как DoppelCart.

Большинство доменов находятся в домене верхнего уровня .SHOP, на их долю приходится 2,72% всех сайтов в этой зоне.

Немецкий стартап в сфере кибербезопасности Nebty, чьи специалисты обнаружили DoppelCart, в своей публикации назвал этот кластер крупнейшим из публично задокументированных. Ближайший конкурент BogusBazaar управлял сетью из 75 000 сайтов, через которые прошли в общей сложности 850 000 мошеннических транзакций.

По последним данным Nebty, более 105 000 магазинов DoppelCart по-прежнему активны.

Генеральный директор Nebty Бенедикт Шенграбер (Benedikt Scheungraber) сообщил изданию BleepingComputer, что 96% мнимых магазинов, доказанно относящихся к DoppelCart, имеют идентичные файлы сборки и используют большой, но все же ограниченный набор платформ электронной коммерции (27 наименований).

Эти сайты выдают себя за легитимные площадки, копируя их каталоги товаров, описания, фирменную символику и изображения; иногда материалы загружаются напрямую с серверов реальной компании.

Шенграбер говорит, что магазины имитируют 44 182 различных бренда, при этом для каждого из них в среднем приходится два клона.

Некоторые - SodaStream, Velasca, CurrentBody, Daniel Wellington, Dreame, Horze, MOVA и SPARK PAWS - удостоились большего внимания: на каждый из них приходится более 30 мнимых магазинов.

Основной способ завлекать жертв - это обещание больших скидок (до 65%).

Эксперты Nebty, изучив нескольких страниц оформления заказа, обнаружили код, который собирал конфиденциальную информацию, касающуюся платежных карт и их владельцев: номера карт, сроки годности, коды безопасности, имена владельцев карт, адреса электронной почты, номера телефонов, физические адреса.

Данные из каждого такого поля передаются по протоколу WebSockets на контрольный сервер в режиме реального времени.

Код оформления заказа также может перенаправлять одноразовый код подтверждения от банка жертвы, которым злоумышленники потом пользуются для обхода средств защиты.

В некоторых поддельных магазинах указан адрес службы поддержки имитируемого бренда, так чтобы жертвы, не получившие свои покупки, отправляли претензии туда.

По словам Шенграбера, компания пыталась связаться с основным хостинг-провайдером сайтов DoppelCart, но не получила ответа. Это может указывать на криминальный характер этого хостера.

«если что и делает эту мошенническую операцию выдающейся, так это ее промышленные масштабы, - считает Александр Зонов, эксперт по информационной безопасности компании SEQ. - В остальном она демонстрирует весь «неджентльменский набор» мошеннических функций. К сожалению, сегодня все сложнее становится визуально отличить поддельные сайты электронной коммерции от подлинных магазинов. В этом плане работа специалистов по безопасности, которые осуществляют разведку структуры мошеннических сетей, становится критически важной и для клиентов таких магазинов, и для их владельцев».

Компания Nebty создала базу данных поддельных магазинов с возможностью поиска: это поможет компаниям выявлять случаи подделки аккаунтов DoppelCart и злоупотребления брендом, а также принять надлежащие меры для защиты.

Роман Георгиев