FRITZ! i Dreame: 119 000 fałszywych sklepów pobiera dane Państwa karty przy kasie

Wyszukiwanie informacji o odkurzaczu automatycznym lub nowym routerze FRITZ!Box może doprowadzić Państwa do podrobionej strony. Firma nebty z siedzibą w Monachium, zajmująca się bezpieczeństwem, udokumentowała sieć 119 012 potwierdzonych domen sklepowych. Pełna baza danych jest obecnie dostępna publicznie. Strony te wykorzystują zdjęcia produktów, opisy oraz cały wygląd prawdziwych sklepów internetowych. W niektórych przypadkach grafiki są ładowane bezpośrednio z serwera obrazów samej skopiowanej firmy. Tylko w ramach rozszerzenia .shop firma nebty zidentyfikowała 118 787 takich adresów. Stanowi to 2,72 procent z 4 361 908 domen .shop, które poddała analizie. Największą porównywalną siecią udokumentowaną dotychczas publicznie był serwis BogusBazaar, który w 2024 r. osiągnął liczbę około 75 000 domen.

Niemieccy klienci nie są tu tylko przypisem. Baza danych zawiera 12 sklepów, które jako markę podają FRITZ! Wśród nich znajdują się avmonline.shop, fritzstore.shop oraz fritzdirect.shop. Wszystkie 12 sklepów zostało sklasyfikowanych jako prawdopodobnie aktywne podczas naszej weryfikacji przeprowadzonej 13 września. Producent odkurzaczy automatycznych Dreame ma 72 wpisy. Na początku tego roku dokonaliśmy przeglądu jego odkurzacza L10s Ultra Gen 3. W przypadku niektórych z tych sklepów tytuł strony brzmi „DREAME Stores Deutschland”. Inne podają się za krajowe punkty sprzedaży we Włoszech, Francji, Hiszpanii i Belgii. W rejestrze figurują również takie marki, jak EcoFlow, Bluetti, Roborock, Narwal, Jackery, Keychron, HyperX oraz Sennheiser.

Adres działu obsługi klienta należy do prawdziwego producenta

Jedyny szczegół, który sprawdzają nabywcy, nie pozwala odróżnić tych sklepów od prawdziwych. Wiele z nich podaje adres pomocy technicznej marki, którą naśladują. Sklep dreametechpro.shop podaje jako kontakt adres [email protected], który znajduje się w domenie prawdziwego producenta. Klient, do którego zamówienie nigdy nie dotarło, składa skargę do firmy, która nigdy nie widziała tego zamówienia. Pracownicy działu obsługi klienta tej firmy muszą wówczas wyjaśnić, gdzie trafiły pieniądze i towary. W bazie danych serwisu nebty odnotowano 2 494 takich ujawnionych adresów kontaktowych.

Ten sam schemat pojawił się w zeszłym tygodniu w przypadku firmy Trezor, gdzie wiadomość phishingowa została wysłana z własnego adresu nadawcy producenta. Kopiowany jest również znak, który ma potwierdzać autentyczność sklepu. Fałszywe sklepy stosują dodatkową warstwę oszustwa. Niektóre strony wykorzystują wymyślone adresy, takie jak [email protected], które na pierwszy rzut oka wyglądają równie wiarygodnie.

Strona płatności pobiera dane karty przed kliknięciem przycisku „Kup”

Szkoda powstaje właśnie na etapie płatności. Firma nebty przetestowała kilka stron kasy w sieci. Wykryła kod, który zbiera numer karty, datę ważności, kod zabezpieczający, imię i nazwisko, adres e-mail, numer telefonu oraz adres pocztowy. Raport udostępniony przez firmę serwisowi BleepingComputer wskazuje, że dane z tych pól są przesyłane pojedynczo przez połączenie WebSocket na serwer atakujących. Dane te są wysyłane natychmiast po ich wpisaniu. Przesłanie formularza nie jest wymagane.

Ten sam raport wskazuje, że kod ten może również przekazywać jednorazowy kod wysyłany przez bank w celu zatwierdzenia płatności. Zatwierdzenie to chroni Państwa przed wykorzystaniem skradzionych danych karty w innym miejscu. Nie chroni ono jednak przed potwierdzeniem płatności na rzecz oszusta. Tak właśnie się dzieje, gdy zatwierdzają Państwo płatność samodzielnie. Publiczny wpis na blogu nebty nie zawiera tej informacji. Pochodzi ona z raportu przekazanego serwisowi branżowemu.

Jak rozpoznać podróbki

Jedna wskazówka sama w sobie niczego nie dowodzi. Dowodem jest jednak kilka wskazówek razem. Sklepy reklamują rabaty sięgające nawet 65 procent na oryginalne produkty. Adresy internetowe charakteryzują się wyraźnym schematem: nazwa marki połączona ze słowem wypełniającym, takim jak „store”, „direct”, „global” lub „hub”. Rozszerzeniem domeny jest prawie zawsze .shop. Dyrektor generalny firmy nebty, Benedikt Scheungraber, twierdzi, że 96 procent zweryfikowanych stron ma identyczne pliki źródłowe i odsyła do 27 wspólnych platform handlowych. To właśnie ta jednolitość sprawiła, że klaster ten stał się widoczny. Adres można sprawdzić w publicznej bazie danych. Bardziej wiarygodnym źródłem informacji jest strona internetowa producenta oraz lista autoryzowanych sprzedawców.

Sieć nadal funkcjonuje. W momencie przeprowadzania dochodzenia dostępnych było nadal ponad 105 000 sklepów. Firma nebty twierdzi, że skontaktowała się z dostawcą usług hostingowych obsługującym większość tych stron, ale nie uzyskała odpowiedzi. Ukierunkowane działania mające na celu usunięcie stron w imieniu poszkodowanych marek są skuteczne. Według obserwacji firmy nebty sklepy usunięte w ten sposób pozostają niedostępne.