FRITZ! és Dreame: 119 000 hamis webáruház veszi át a kártyádat a fizetéskor

Ha robotporszívóra vagy új FRITZ!Boxra keres, könnyen egy ilyen másolatra bukkanhat. A müncheni székhelyű nebty biztonsági cég 119 012 megerősített webáruház-domainből álló hálózatot dokumentált. A teljes adatbázis mostantól nyilvános. Az oldalak a valódi kiskereskedők termékfotóit, leírásait és teljes megjelenését veszik át. Egyes esetekben a grafikákat közvetlenül a lemásolt vállalat saját képszerveréről töltik be. Csak a .shop kiterjesztés alatt a nebty 118 787 ilyen címet számolt össze. Ez a vizsgált 4 361 908 .shop domain 2,72 százaléka. A legnagyobb, eddig nyilvánosan dokumentált hasonló hálózat a BogusBazaar volt, amely 2024-ben körülbelül 75 000 domainnevet ért el.

A német vásárlók sem maradnak ki ebből. Az adatbázis 12 olyan webáruházat sorol fel, amelyek a FRITZ! márkanevet használják. Köztük van az avmonline.shop, a fritzstore.shop és a fritzdirect.shop. Mind a 12-t valószínűleg aktívnak minősítettük, amikor szeptember 13-án ellenőriztük őket. A Dreame robotporszívó-gyártó 72 bejegyzéssel szerepel. Az év elején teszteltük az L10s Ultra Gen 3 porszívóját. Ezen üzletek közül néhánynál a oldal címe „DREAME Stores Deutschland”. Mások Olaszország, Franciaország, Spanyolország és Belgium országos forgalmazóiként tüntetik fel magukat. Az EcoFlow, a Bluetti, a Roborock, a Narwal, a Jackery, a Keychron, a HyperX és a Sennheiser is szerepel a nyilvántartásban.

Az ügyfélszolgálati cím a valódi gyártóhoz tartozik

Az a részlet, amelyet a vásárlók ellenőriznek, nem különbözteti meg ezeket a boltokat a valódiaktól. Sokuk a másolt márka ügyfélszolgálati címét adja meg. A dreametechpro.shop a [email protected] címet adja meg elérhetőségként, amely a valódi gyártó saját domainjén található. Egy olyan vásárló, akinek a megrendelése soha nem érkezik meg, egy olyan céghez fordul panasszal, amely soha nem is látta a megrendelést. A cég ügyfélszolgálatának pedig meg kell magyaráznia, hová tűnt a pénz és az áru. A nebty 2 494 ilyen, nyilvánosságra hozott kapcsolattartási címet számolt össze az adatbázisban.

Ugyanez a minta jelent meg a múlt héten a Trezor esetében is, ahol az adathalász e-mail a gyártó saját küldőcíméről indult. Azt a jelzést is lemásolják, amelynek bizonyítania kellene, hogy az üzlet valódi. A hamis webáruházak egy második réteget is hozzáadnak. Egyes oldalak kitalált címeket használnak, például a [email protected], amelyek első pillantásra ugyanolyan hitelesnek tűnnek.

A fizetési oldalon már a „Vásárlás” gombra kattintás előtt megadja a kártyaadatait

A fizetés során következik be a kár. A nebty több fizetési oldalt is tesztelt a hálózatban. Olyan kódot talált, amely összegyűjti a kártyaszámot, a lejárati dátumot, a biztonsági kódot, a nevet, az e-mail címet, a telefonszámot és a postai címet. A cég által a BleepingComputerrel megosztott jelentés szerint ezek a mezők egyenként jutnak el egy WebSocket-kapcsolaton keresztül a támadók szerverére. Az adatok már a beírásuk pillanatában eljutnak oda. Az űrlap elküldésére nincs szükség.

Ugyanez a jelentés szerint a kód továbbíthatja azt az egyszeri kódot is, amelyet a bank küld a fizetés jóváhagyásához. Ez a jóváhagyás megvéd attól, hogy valaki máshol használja fel az ellopott kártyaadataidat. Nem véd meg attól, hogy jóváhagyd a fizetést a csaló számára. Ez történik, ha te magad hagyod jóvá a tranzakciót. A nebty nyilvános blogbejegyzése nem tartalmazza ezt a megállapítást. Ez a szaklapnak átadott jelentésből származik.

Hogyan lehet felismerni a másolatokat

Egyetlen nyom önmagában nem bizonyít semmit. Több együtt viszont igen. Az üzletek akár 65 százalékos kedvezményeket hirdetnek valódi termékekre. A címek egy jól felismerhető mintát követnek: a márkanév, majd egy kitöltő szó, például „store”, „direct”, „global” vagy „hub”. A kiterjesztés szinte mindig .shop. Benedikt Scheungraber, a nebty vezérigazgatója szerint a megerősített oldalak 96 százaléka azonos build-fájlokat használ, és 27 közös kereskedelmi háttérrendszerhez kapcsolódik. Ez az egységesség tette a klasztert eleve észrevehetővé. Egy címet a nyilvános adatbázisban is meg lehet keresni. A gyártó saját weboldala és a hivatalos forgalmazók listája azonban megbízhatóbb forrásnak számít.

A hálózat továbbra is működik. A vizsgálat idején még mindig több mint 105 000 webáruház volt elérhető. A nebty szerint felvette a kapcsolatot a legtöbb oldal mögött álló tárhelyszolgáltatóval, de nem kapott választ. Az érintett márkák nevében végrehajtott célzott eltávolítások hatékonyak. A nebty megfigyelései szerint az így eltávolított webáruházak offline állapotban maradtak.