Масштабная сеть DoppelCart: как 119 тысяч поддельных сайтов крадут данные карт

Исследователи компании Nebty зафиксировали крупнейшую из публично задокументированных сетей поддельных интернет-магазинов — DoppelCart, в которую входит почти 119 тысяч доменов, мимикрирующих под известные бренды. По данным Malwarebytes, мошенники копируют каталоги реальных ритейлеров и перехватывают реквизиты банковских карт прямо во время оформления заказа. Для покупателей подарочных карт и цифровых товаров это сигнал не торопиться: даже узнаваемый логотип и заманчивая скидка больше не гарантируют, что вы попали на настоящий сайт.

Как устроена ловушка

Сеть построена на клонировании легальных магазинов: мошенники берут настоящие описания товаров, брендовые фотографии (иногда загружая их прямо с серверов реальных компаний) и воспроизводят привычный интерфейс. В выборке Nebty 96% подтверждённых магазинов DoppelCart работали на одинаковых файлах сборки и всего 27 различных ecommerce-платформах. Всего подделки имитируют свыше 44 000 брендов, причём для таких марок, как SodaStream, Daniel Wellington, Dreame и SPARK PAWS, создавалось более 30 клонов на каждое имя.

Опасность спрятана в момент оплаты. Страница чекаута собирает данные карты — номер, срок действия, CVV — и передаёт их на серверы злоумышленников в реальном времени через WebSockets. Более того, мошенники способны перехватить даже одноразовый код подтверждения, который банк присылает для аутентификации платежа, и провести операцию, пока вы ещё находитесь на странице ввода. То, что в адресной строке стоит значок HTTPS, теперь практически ничего не доказывает.

Что проверить перед оплатой

• Домен. Часто это созвучное, но не оригинальное имя в зоне .shop. Сверяйте адрес с тем, что указан на упаковке карты или в официальном приложении бренда.
• Слишком щедрая скидка. В наблюдениях Nebty — до 65%. Это рычаг, чтобы вы не успели ничего проверить.
• Подозрительное поведение чекаута. Если при оплате картой вас просят ввести одноразовый код из SMS, а он «не принимается» с первого раза и нужно повторить — это тревожный сигнал: код мог уйти на чужой сервер одновременно с вашим вводом.
• Расширение для браузера. Malwarebytes Browser Guard подключается одним кликом и автоматически блокирует фишинговые и вредоносные страницы.

Если деньги уже ушли

Не ждите. Свяжитесь с банком, выпустившим карту, заявите о подозрительной операции и попросите перевыпустить карту или подключить расширенный мониторинг операций. Сохраните скриншоты чекаута, подтверждение заказа, адрес страницы и всю переписку с продавцом — эти материалы понадобятся при разбирательстве. Чем быстрее вы это сделаете, тем выше шанс оспорить платёж и не дать злоумышленникам вывести деньги.