Wprowadzenie do problemu / definicja
DoppelCart to rozległa operacja cyberprzestępcza oparta na fałszywych sklepach internetowych, których głównym celem jest wyłudzanie danych kart płatniczych oraz informacji identyfikujących klientów. Mechanizm działania polega na podszywaniu się pod znane marki i legalne sklepy, kopiowaniu ich oferty, elementów wizualnych oraz treści, a następnie przechwytywaniu danych wpisywanych przez użytkownika podczas składania zamówienia.
To zagrożenie łączy cechy klasycznego phishingu, oszustwa zakupowego i kradzieży danych płatniczych. W efekcie ofiara nie tylko traci pieniądze, ale może też narazić się na dalsze nadużycia z użyciem swoich danych osobowych.
W skrócie
Badacze bezpieczeństwa opisali DoppelCart jako jedną z największych publicznie ujawnionych sieci fałszywych sklepów internetowych. Infrastruktura obejmuje ponad 119 tysięcy domen, z których wiele pozostaje aktywnych i nadal może służyć do oszustw.
- Fałszywe sklepy imitują dziesiątki tysięcy marek.
- Strony kuszą bardzo dużymi rabatami i ofertami ograniczonymi czasowo.
- Formularze płatności przechwytują dane kart oraz pełne dane kontaktowe klientów.
- Wykradzione informacje są przesyłane do operatorów kampanii w czasie rzeczywistym.
- W niektórych scenariuszach zagrożone mogą być również jednorazowe kody autoryzacyjne.
Kontekst / historia
Fałszywe sklepy internetowe funkcjonują w cyberprzestępczym krajobrazie od lat, jednak przypadek DoppelCart pokazuje nowy poziom skali i automatyzacji. Zamiast pojedynczych domen tworzonych okazjonalnie, obserwujemy zorganizowaną infrastrukturę opartą na masowej rejestracji adresów i powtarzalnych szablonach witryn.
Taki model działania wskazuje na industrializację oszustw e-commerce. Operatorzy mogą szybko wdrażać kolejne kopie sklepów, zmieniać domeny i odbudowywać infrastrukturę po zgłoszeniach lub blokadach. Dla obrońców oznacza to trudniejsze wykrywanie i krótszy czas reakcji, ponieważ likwidacja części domen nie eliminuje całej kampanii.
Istotne jest również to, że przestępcy wykorzystują zaufanie konsumentów do znanych marek oraz presję cenową. Szczególnie skuteczne mogą być w okresach wyprzedaży, świąt i dużych kampanii promocyjnych, gdy użytkownicy częściej podejmują szybkie decyzje zakupowe.
Analiza techniczna
Rdzeń operacji opiera się na klonowaniu witryn e-commerce. Atakujący kopiują katalogi produktów, opisy, logotypy i materiały graficzne legalnych sprzedawców. W części przypadków zasoby są pobierane bezpośrednio z serwerów prawdziwych firm, co zwiększa wiarygodność spreparowanej strony i utrudnia jej rozpoznanie przez klienta.
Najważniejszym etapem ataku jest proces checkoutu. To właśnie tam osadzone są mechanizmy odpowiedzialne za przechwytywanie danych wprowadzanych przez ofiarę. Formularze mogą zbierać:
- numer karty płatniczej,
- datę ważności,
- kod CVV lub CVC,
- imię i nazwisko posiadacza karty,
- adres e-mail,
- numer telefonu,
- adres dostawy i inne dane adresowe.
Według opisu kampanii przechwycone dane są przekazywane do infrastruktury sterującej z użyciem WebSocketów. Taki mechanizm umożliwia niemal natychmiastowe przesłanie informacji operatorom oszustwa, co skraca czas między wpisaniem danych a próbą ich wykorzystania.
Dodatkowym zagrożeniem jest możliwość przechwytywania jednorazowych kodów autoryzacyjnych. Jeśli użytkownik wprowadzi taki kod na spreparowanej stronie, przestępcy mogą spróbować wykorzystać go do finalizacji nieautoryzowanej transakcji lub obejścia dodatkowych zabezpieczeń płatniczych.
Z perspektywy zespołów bezpieczeństwa ważna jest wysoka standaryzacja całej infrastruktury. Wiele witryn korzysta z podobnych plików, identycznych komponentów front-endowych i wspólnego zaplecza handlowego. Ułatwia to tworzenie sygnatur detekcyjnych opartych na artefaktach JavaScript, wzorcach adresów URL, strukturze DOM czy charakterystycznym ruchu sieciowym.
Konsekwencje / ryzyko
Dla klientów podstawowym skutkiem jest kradzież danych karty i ryzyko wykonania nieautoryzowanych płatności. Problem nie ogranicza się jednak wyłącznie do strat finansowych. Przestępcy pozyskują także dane osobowe, kontaktowe i adresowe, które mogą później wykorzystać w kolejnych oszustwach, kampaniach phishingowych lub próbach przejęcia kont.
Zagrożone są również legalne marki, pod które podszywają się fałszywe sklepy. Nawet bez bezpośredniego włamania firma może ponieść straty wizerunkowe, operacyjne i organizacyjne. Klienci, którzy nie otrzymują zamówionych produktów, często kontaktują się z prawdziwą marką, obciążając działy wsparcia i podważając zaufanie do sklepu.
Dla sektora e-commerce DoppelCart stanowi sygnał ostrzegawczy, że granica między klasycznym phishingiem a oszustwem zakupowym praktycznie się zaciera. Fałszywy sklep staje się pełnoprawnym narzędziem kradzieży danych i fraudu płatniczego, a nie jedynie prostą stroną podszywającą się pod panel logowania.
Rekomendacje
Organizacje powinny wdrożyć ciągły monitoring domen podobnych do nazw własnych marek, zwłaszcza nowych rejestracji w popularnych domenach najwyższego poziomu. Warto też regularnie wyszukiwać klony sklepów, analizować nieautoryzowane użycie logotypów i materiałów produktowych oraz automatyzować zgłaszanie nadużyć.
Dla zespołów SOC i threat intelligence szczególnie użyteczne mogą być mechanizmy detekcji oparte na:
- podobieństwie kodu JavaScript w formularzach checkoutu,
- anomaliach w komunikacji WebSocket z nieznanymi hostami,
- wzorcach domen imitujących markę,
- powtarzalnych szablonach witryn i fingerprintach infrastruktury,
- korelacji zgłoszeń fraudowych z aktywnością phishingową i oszustwami płatniczymi.
Sklepy internetowe i właściciele marek powinni dodatkowo zadbać o ochronę zasobów statycznych, monitoring nieautoryzowanego hotlinkowania materiałów oraz ścisłą współpracę z dostawcami płatności, rejestratorami domen i operatorami hostingu.
Użytkownicy końcowi mogą ograniczyć ryzyko, zwracając uwagę na praktyczne sygnały ostrzegawcze:
- nienaturalnie wysokie rabaty,
- nietypową lub podejrzanie wyglądającą domenę sklepu,
- brak jasnych danych firmy,
- błędy językowe i niespójności w regulaminie,
- nietypowe zachowanie strony podczas płatności,
- prośby o ponowne wpisanie danych karty lub kodów autoryzacyjnych.
Dobrą praktyką pozostaje korzystanie z kart wirtualnych, limitów transakcyjnych, powiadomień bankowych i metod płatności oferujących dodatkową ochronę kupującego.
Podsumowanie
DoppelCart pokazuje, jak dojrzałe i skalowalne stały się współczesne kampanie oszustw e-commerce. Kluczowe zagrożenie wynika nie tylko z ogromnej liczby fałszywych sklepów, ale przede wszystkim z ich zdolności do wiarygodnego podszywania się pod znane marki i natychmiastowego przechwytywania danych płatniczych.
Dla firm oznacza to konieczność stałego monitorowania nadużyć domenowych, ochrony marki i szybkiego reagowania na incydenty. Dla użytkowników jest to przypomnienie, że nawet profesjonalnie wyglądający sklep internetowy może być elementem zautomatyzowanej kampanii fraudowej.
Źródła
- BleepingComputer — DoppelCart fraud network uses 119,000 fake shops to steal credit cards — https://www.bleepingcomputer.com/news/security/doppelcart-fraud-network-uses-119-000-fake-shops-to-steal-credit-cards/