FRITZ! e Dreame: 119.000 negozi fasulli vi sottraggono i dati della carta di credito al momento del pagamento

Una ricerca relativa a un robot aspirapolvere o a un nuovo FRITZ!Box può condurLa su una di queste pagine. La società di sicurezza nebty, con sede a Monaco di Baviera, ha documentato una rete di 119.012 domini di negozi confermati. Il database completo è ora di dominio pubblico. Le pagine riprendono le foto dei prodotti, le descrizioni e l’intero aspetto grafico dei rivenditori reali. In alcuni casi caricano le immagini direttamente dal server di immagini dell’azienda copiata. Solo con l’estensione .shop, nebty conta 118.787 indirizzi di questo tipo. Si tratta del 2,72% dei 4.361.908 domini .shop esaminati. La più grande rete comparabile documentata pubblicamente fino ad ora era BogusBazaar, che nel 2024 aveva raggiunto circa 75.000 domini.

Gli acquirenti tedeschi non sono una nota a margine in questo contesto. Il database elenca 12 negozi che riportano il marchio FRITZ! Tra questi figurano avmonline.shop, fritzstore.shop e fritzdirect.shop. Tutti e 12 sono stati classificati come probabilmente attivi al momento della nostra verifica del 13 settembre. Il produttore di robot aspirapolvere Dreame conta 72 voci. Abbiamo recensito il suo aspirapolvere L10s Ultra Gen 3 all’inizio di quest’anno. In alcuni di questi negozi, il titolo della pagina recita «DREAME Stores Deutschland». Altri si presentano come punti vendita nazionali per Italia, Francia, Spagna e Belgio. Nel database compaiono anche EcoFlow, Bluetti, Roborock, Narwal, Jackery, Keychron, HyperX e Sennheiser.

L’indirizzo dell’assistenza appartiene al vero produttore

L’unico dettaglio che gli acquirenti verificano non permette di distinguere questi negozi da quelli autentici. Molti di essi riportano l’indirizzo di assistenza del marchio che imitano. dreametechpro.shop indica come contatto [email protected], un indirizzo presente sul dominio del vero produttore. Un acquirente il cui ordine non arriva mai presenta un reclamo a un’azienda che non ha mai ricevuto l’ordine. Il personale di assistenza di tale azienda deve quindi spiegare dove siano finiti il denaro e la merce. nebty conta 2.494 indirizzi di contatto di questo tipo presenti nel database.

Lo stesso schema si è verificato la scorsa settimana presso Trezor, dove l’e-mail di phishing è stata inviata dall’indirizzo di posta del produttore stesso. Anche il segno che dovrebbe dimostrare l’autenticità di un negozio viene copiato. I negozi falsi aggiungono un secondo livello di inganno. Alcune pagine utilizzano indirizzi inventati, come ad esempio [email protected], che a prima vista sembrano altrettanto plausibili.

La pagina di pagamento richiede i dati della Sua carta prima ancora che Lei clicchi su “Acquista”

È al momento del pagamento che si verifica il danno. nebty ha testato diverse pagine di checkout presenti nella rete. Ha individuato un codice che raccoglie il numero della carta, la data di scadenza, il codice di sicurezza, il nome, l’indirizzo e-mail, il numero di telefono e l’indirizzo postale. Il rapporto che l’azienda ha condiviso con BleepingComputer afferma che tali campi vengono trasmessi uno per uno tramite una connessione WebSocket al server degli aggressori. Vengono inviati nel momento stesso in cui vengono digitati. Non è necessario inviare il modulo.

Lo stesso rapporto indica che il codice può anche inoltrare il codice monouso inviato dalla banca per approvare il pagamento. Tale approvazione vi protegge dall’eventualità che qualcuno utilizzi i dati della vostra carta rubata altrove. Non vi protegge, invece, dal confermare un pagamento a favore del truffatore. È ciò che avviene quando siete voi stessi ad approvarlo. Il post pubblicato sul blog pubblico di nebty non include questa scoperta, che proviene dal rapporto consegnato alla testata specializzata.

Come individuare le copie

Un indizio da solo non prova nulla. Ma diversi indizi, considerati nel loro insieme, sì. I negozi pubblicizzano sconti fino al 65 per cento su prodotti autentici. Gli indirizzi seguono uno schema riconoscibile composto dal nome del marchio seguito da una parola di riempimento come «store», «direct», «global» o «hub». Il suffisso è quasi sempre .shop. Benedikt Scheungraber, amministratore delegato di nebty, afferma che il 96% delle pagine confermate condivide file di costruzione identici e rimanda a 27 backend di e-commerce condivisi. È proprio tale uniformità ad aver reso visibile il cluster sin dall’inizio. È possibile cercare un indirizzo nel database pubblico. Il sito del produttore stesso e il suo elenco di rivenditori autorizzati rappresentano la fonte più affidabile.

La rete è ancora attiva. Al momento dell’indagine, erano ancora raggiungibili oltre 105.000 negozi. nebty afferma di aver contattato il provider di hosting responsabile della maggior parte delle pagine senza ottenere risposta. Le rimozioni mirate per conto dei marchi interessati si rivelano efficaci. Secondo le osservazioni di nebty, i negozi rimossi in questo modo sono rimasti offline.