Wprowadzenie do problemu / definicja
DoppelCart to rozbudowana operacja oszustw e-commerce oparta na sieci fałszywych sklepów internetowych, których głównym celem jest kradzież danych kart płatniczych oraz informacji osobowych klientów. Skala kampanii, poziom automatyzacji i skuteczne podszywanie się pod legalne marki sprawiają, że zagrożenie dotyczy zarówno konsumentów, jak i organizacji odpowiedzialnych za bezpieczeństwo cyfrowe i ochronę reputacji.
W skrócie
Badacze bezpieczeństwa powiązali z operacją DoppelCart ponad 119 tys. domen wykorzystywanych do prowadzenia fałszywych sklepów. Strony te kopiują wygląd, opisy produktów i materiały graficzne legalnych sprzedawców, aby zwiększyć wiarygodność i skłonić użytkowników do finalizacji zakupów.
- Podszywanie się pod znane marki i sklepy internetowe
- Przechwytywanie danych kart płatniczych oraz danych osobowych
- Eksfiltracja informacji w czasie rzeczywistym
- Możliwość pozyskiwania kodów jednorazowych używanych do autoryzacji płatności
Kontekst / historia
Fałszywe sklepy internetowe od dawna stanowią istotny element krajobrazu cyberprzestępczości, jednak DoppelCart pokazuje nowy poziom industrializacji tego modelu działania. Zamiast pojedynczych witryn tworzonych ad hoc, przestępcy zbudowali masowy ekosystem oparty na powtarzalnych komponentach technicznych i zunifikowanym zapleczu.
Takie podejście pozwala szybko uruchamiać kolejne domeny podszywające się pod różne firmy, a jednocześnie utrudnia skuteczne usuwanie zagrożenia. Dla zespołów SOC, działów brand protection i dostawców usług sieciowych oznacza to konieczność reagowania nie na pojedynczy incydent, lecz na stale odtwarzającą się infrastrukturę.
Analiza techniczna
Rdzeń techniczny kampanii opiera się na zestandaryzowanych szablonach sklepów imitujących legalne witryny sprzedażowe. Atakujący kopiują katalogi produktów, opisy, branding i zdjęcia, a w części przypadków wykorzystują nawet zasoby ładowane z serwerów prawdziwych firm, co dodatkowo wzmacnia pozory autentyczności.
Najważniejszym etapem oszustwa jest proces płatności. To właśnie tam osadzono mechanizmy przechwytujące dane wpisywane przez ofiarę. Zbierane informacje obejmują:
- numer karty płatniczej,
- datę ważności,
- kod CVV lub inny kod bezpieczeństwa,
- imię i nazwisko właściciela karty,
- adres e-mail,
- numer telefonu,
- adres rozliczeniowy lub dostawy.
Istotnym elementem operacji jest przesyłanie danych do infrastruktury przestępczej w czasie rzeczywistym przy użyciu komunikacji WebSocket. Taki model skraca czas między wpisaniem danych przez użytkownika a ich wykorzystaniem przez operatorów oszustwa, co może utrudnić reakcję banku i samej ofiary.
Dodatkowym ryzykiem jest możliwość przechwycenia jednorazowych kodów autoryzacyjnych wykorzystywanych w mechanizmach silnego uwierzytelniania płatności. Jeśli użytkownik wpisze taki kod na podstawionej stronie, przestępcy mogą próbować wykorzystać go do sfinalizowania nieuprawnionej transakcji.
Analiza infrastruktury wskazuje także na wyraźną centralizację. Wiele domen współdzieli podobne pliki, komponenty aplikacyjne i ograniczoną liczbę backendów. To cenna wskazówka dla analityków zagrożeń, ponieważ umożliwia grupowanie incydentów, korelację wskaźników kompromitacji i szybsze wykrywanie kolejnych odsłon kampanii.
Konsekwencje / ryzyko
Dla użytkowników najpoważniejszym skutkiem jest utrata danych płatniczych i ryzyko nieautoryzowanych transakcji. Skradzione informacje mogą być również wykorzystane w dalszych oszustwach, takich jak przejęcie tożsamości, ukierunkowany phishing czy nadużycia finansowe.
Legalne marki również ponoszą realne straty. Przestępcy wykorzystują ich identyfikację wizualną i reputację, co osłabia zaufanie klientów. Dodatkowo poszkodowani użytkownicy często kierują reklamacje do prawdziwych firm, obciążając działy wsparcia, komunikacji i obsługi incydentów.
Z perspektywy obronnej problemem pozostaje skala operacji. Blokowanie pojedynczych domen jest niewystarczające, gdy infrastruktura może być szybko odtwarzana i rozwijana na dużą skalę. Skuteczna odpowiedź wymaga wykrywania wzorców, automatyzacji analiz oraz współpracy między zespołami bezpieczeństwa, dostawcami hostingu i podmiotami odpowiedzialnymi za rejestrację domen.
Rekomendacje
Organizacje powinny wdrożyć podejście wielowarstwowe, łączące ochronę marki, monitoring infrastruktury oraz reagowanie na oszustwa płatnicze.
Po stronie firm warto uwzględnić:
- ciągłe monitorowanie domen podobnych do marki,
- analizę podobieństwa treści, certyfikatów, favicon i szablonów stron,
- szybkie procedury zgłaszania nadużyć do rejestrów domen, hostingodawców i operatorów CDN,
- integrację danych threat intelligence z narzędziami detekcji i brand protection,
- opracowanie playbooków reagowania na kampanie fake-shop,
- regularną edukację klientów w zakresie bezpiecznych zakupów online.
Po stronie użytkowników końcowych zalecane są:
- weryfikacja reputacji i wieku domeny przed zakupem,
- ostrożność wobec wyjątkowo atrakcyjnych promocji,
- sprawdzanie jakości treści, regulaminów i danych kontaktowych sklepu,
- korzystanie z kart wirtualnych lub dodatkowych zabezpieczeń płatności,
- natychmiastowe zastrzeżenie karty w razie podejrzenia wyłudzenia danych,
- monitorowanie historii transakcji i aktywacja alertów bankowych.
Banki i operatorzy płatności powinni dodatkowo rozwijać mechanizmy wykrywania anomalii związanych z nowymi sklepami, nietypowymi ścieżkami autoryzacji oraz sygnałami sugerującymi przechwytywanie kodów jednorazowych.
Podsumowanie
DoppelCart pokazuje, że oszustwa typu fake-shop przekształciły się w wysoce skalowalne i zautomatyzowane operacje przypominające dojrzałe kampanie cyberprzestępcze. Kluczowe znaczenie ma tu nie tylko liczba domen, ale także zdolność do wiarygodnego podszywania się pod marki i przechwytywania danych płatniczych niemal w czasie rzeczywistym.
Dla organizacji to wyraźny sygnał, że ochrona marki, analiza infrastruktury przeciwnika i szybkie procedury reagowania powinny być integralną częścią strategii cyberbezpieczeństwa. Dla konsumentów zaś jest to przypomnienie, że nawet profesjonalnie wyglądający sklep może być elementem szeroko zakrojonego oszustwa.
Źródła
- BleepingComputer — https://www.bleepingcomputer.com/news/security/doppelcart-fraud-network-uses-119-000-fake-shops-to-steal-credit-cards/
- Nebty — https://nebty-id.com/
- Nebty Investigations Database — https://investigations.nebty-id.com/