「DoppelCart」と名付けられた大規模な詐欺オペレーションが、11万9000以上のドメインを使って偽のネットショップ網を運営し、決済カード情報を盗み取っています。
ドメインの大半は.SHOPトップレベルドメインに集中しており、同TLD全体のサイトの2.72%を占めています。
ドイツのサイバーセキュリティ企業Nebtyが発見したDoppelCartは、ドメイン数で見て公に確認されている偽ショップ集団としては過去最大規模だとされ、これまで最大とされていた「BogusBazaar」を大きく上回っています。BogusBazaarは7万5000のサイトからなるネットワークを運営し、推計85万件の不正取引を記録していました。
同社の最新のスキャン結果によると、DoppelCartの偽ショップのうち10万5000以上が現在も稼働中です。
Nebtyの最高経営責任者(CEO)であるBenedikt Scheungraber氏はBleepingComputerに対し、DoppelCartに属することが確認された偽ショップの96%が同一のビルドファイルを共有しており、27のコマース用バックエンドに接続していると語りました。
これらのサイトは商品カタログや説明文、ブランドロゴ、画像をコピーすることで正規企業になりすましており、実在企業のサーバーから直接アセットを読み込んでいるケースもあります。
Scheungraber氏によると、これらの偽ショップは4万4182種類ものブランドを模倣しており、1ブランドあたり中央値で2つの偽サイトが存在するといいます。
ただし、SodaStream、Velasca、CurrentBody、Daniel Wellington、Dreame、Horze、MOVA、SPARK PAWSといった一部のブランドは特に狙われており、それぞれ30を超える偽ショップが確認されています。
これらの偽サイトは、値引き目当ての買い物客を誘い込むため、多くの場合最大65%という大幅な割引を謳っています。
Nebtyがこのクラスターに属する複数の決済ページをテストしたところ、決済カードおよびその保有者に関する機密情報を収集するコードが見つかりました。収集される情報は以下の通りです。
- カード番号
- 有効期限
- セキュリティコード
- カード名義人氏名
- メールアドレス
- 電話番号
- 住所
各データ項目はWebSocketsを通じてリアルタイムで指令サーバー(C2)に送信されている、とNebtyはBleepingComputerと共有したレポートの中で述べています。
この決済ページのコードは、被害者の銀行が発行するワンタイム確認コードも中継できるとみられ、攻撃者はこれを使ってセキュリティ保護を突破している可能性があります。
Nebtyによると、一部の偽ショップはなりすまし対象のブランドの正規サポート窓口を表示しており、商品が届かなかった被害者が実在企業に問い合わせる事態を招いているといいます。
Scheungraber氏は、DoppelCartのサイトを運営する主要ホスティングプロバイダーに連絡を試みたものの、応答は得られなかったと述べています。
これとは別に、Nebtyは企業がDoppelCartによるなりすましやブランド悪用を特定し、自衛のための適切な対応を取れるよう支援する検索可能なデータベースを作成しました。
