119,000件の偽ショップが実在ブランドを装いカード情報を盗み取る

研究者らが、119,000件以上のドメインにまたがる偽ショッピングネットワークを発見しました。

ドイツのサイバーセキュリティ企業Nebtyが、DoppelCartと名付けられたこの手口を特定しました。これは正規の小売業者のブランディング、商品カタログ、説明文、画像をコピーして装う手口です。偽の決済ページはカード番号、有効期限、セキュリティコード、請求先情報、さらには銀行発行の確認コードまでも取得することがあります。

Nebtyが調査結果を公表した時点で、確認されたドメインのうち105,000件以上が依然として稼働していたとされています。研究者らは、その規模の大きさから、DoppelCartがこれまでに公表された偽ショップ群の中で最大のものだと述べています。

DoppelCart偽ショップネットワークの内部構造

BleepingComputerによると、この詐欺キャンペーンで記録された偽ドメインの数はあまりに膨大で、これを発見したドイツのサイバーセキュリティ企業Nebtyは、これまでに公表された偽ショップ群の中で最大のものだと表現しています。

この数字は、75,000件以上のドメインと関連づけられていた、これまで確認済みのBogusBazaarネットワークを上回るものです。

研究者らの調査により、確認されたDoppelCartショップの96%が技術的な共通点を持ち、わずか27のEコマースバックエンドに接続していることが判明しました。つまり、一見すると数千の独立した店舗に見えるものが、実際にはずっと小規模な集中管理型インフラによって支えられているというわけです。

これらの店舗はまた、正規の小売業者のカタログ、商品説明、画像も複製しており、研究者らはなりすまし対象となったブランド44,182件と、最大65%の割引を確認しています。SodaStream、Velasca、CurrentBody、Daniel Wellington、Dreame、Horze、MOVA、SPARK PAWSといったブランドでは、なりすまし件数が30件に達しており、他のブランドの中央値である2件を大きく上回っていました。

オンラインショッピングの利用者は、カードで決済する際、自分のカード情報がマスキングされ小売業者に共有されることはないと考えるのが普通です。しかしNebtyの調査によると、攻撃者は決済時にカード番号、有効期限、セキュリティコード、カード名義人名を含む銀行情報を収集していたことが判明しました。

収集されたデータには、被害者のメールアドレス、電話番号、さらには実際の住所も含まれていました。

攻撃者はこれらのデータをWebSocket経由でコマンド&コントロールサーバーへ送信していました。被害者が何らかの問題に遭遇すると、偽サイトはなりすまし対象ブランドのサポート窓口へリダイレクトするという、混乱を誘う巧妙な仕組みも組み込まれていました。

なぜこの種のキャンペーンは今も通用するのか

ショッピング分野はインターネット上でも特に競争が激しく飽和した領域ですが、DoppelCartは数千もの詐欺サイトを、それでも通用するレベルまで巧妙に見せかけることに成功していました。これは、攻撃者が利用者に何か特異な行動を求めているわけではなく、むしろ見慣れたショッピングの習慣そのものを逆手に取っているためです。

大幅な割引は緊急性を演出し、見慣れたブランドは信頼感を生み、洗練された決済ページは購入をごく普通の行為のように感じさせます。さらにコピーされた商品、本物らしく見える画像、見慣れたブランディングが加われば、買い物客が決済情報を入力する前に立ち止まって疑う理由はほとんど残らなくなってしまいます。

最も安全な対策は、攻撃者が最も頼りにしているもの、すなわち「スピード感」を逆手に取ることです。

ドメインを注意深く確認し、広告を追うのではなく独自に小売業者を検索し、他の実績ある販売業者と価格を比較し、実際の事業実績があるかを確認し、不自然なほど気前の良い割引には疑いの目を向けることが重要です。

すべての企業に課された宿題

SC Mediaによると、Nebtyは、DoppelCartがなりすましの対象とした44,182ブランドの中に自社ブランドが含まれているかどうかを、小売業者が確認できる公開データベースを作成しています。

しかし、より大きな教訓は今回のキャンペーン単体にとどまりません。この問題は、能動的な脅威インテリジェンスの必要性を改めて浮き彫りにしています。顧客を惹きつけるだけの価値を持つ企業であれば、たとえテクノロジー分野の外にあっても、脅威アクターにとっても十分な標的となり得るのです。

小売業者にとってこれは、自社ネットワークの防御にとどまらず、偽ドメインや偽の店舗、その他自社ブランドが悪用されている兆候を積極的に監視する必要があることを意味します。

DoppelCartは、こうした悪用がいかに急速に規模を拡大しうるかを示す好例です。比較的少数の基盤システムが、数万にのぼる説得力ある店舗を支えることができ、ブランドなりすましは単発の詐欺ではなく、インフラそのものの問題へと変質しつつあります。

その他のニュース: 研究者らがAIを用いてWeWormを開発しました。これはゼロクリックのWeChatエクスプロイトで、応答のない着信を通じてアカウントを乗っ取ることが可能であり、Tencentが脆弱性を修正するまで10億以上のアカウントを危険にさらす恐れがありました。