FRITZ! ve Dreame: 119.000 sahte mağaza, ödeme sırasında kart bilgilerinizi çalıyor

Bir robot süpürge veya yeni bir FRITZ!Box araması sizi bir kopya sayfaya yönlendirebilir. Münih merkezli güvenlik firması nebty, 119.012 adet doğrulanmış mağaza alan adından oluşan bir ağı belgelemiştir. Veritabanının tamamı artık kamuya açıktır. Bu sayfalar, gerçek perakendecilerin ürün fotoğraflarını, açıklamalarını ve genel görünümünü kullanmaktadır. Bazı durumlarda, grafikleri doğrudan kopyalanan şirketin kendi resim sunucusundan yüklüyorlar. Yalnızca .shop uzantısı altında nebty, bu tür 118.787 adres saymıştır. Bu, incelediği 4.361.908 .shop alan adının yüzde 2,72’sine denk geliyor. Şu ana kadar kamuya açık olarak belgelenen en büyük benzer ağ, 2024 yılında yaklaşık 75.000 alan adına ulaşan BogusBazaar’dı.

Alman tüketiciler de bu konuda bir istisna değil. Veritabanında, markası FRITZ! olan 12 mağaza listeleniyor. Bunlar arasında avmonline.shop, fritzstore.shop ve fritzdirect.shop yer alıyor. 13 Eylül’de kontrol ettiğimizde bu 12 adresin tamamı muhtemelen aktif olarak sınıflandırılmıştı. Robot süpürge üreticisi Dreame, 72 girişle listede yer alıyor. Bu yılın başlarında L10s Ultra Gen 3 model süpürgesini incelemiştik. Bu mağazalardan bazılarında sayfa başlığı “DREAME Stores Deutschland” olarak görünüyor. Diğerleri ise İtalya, Fransa, İspanya ve Belçika’nın ülke mağazaları gibi görünüyor. EcoFlow, Bluetti, Roborock, Narwal, Jackery, Keychron, HyperX ve Sennheiser de kayıtlarda yer alıyor.

Destek adresi gerçek üreticiye ait

Alıcıların kontrol ettiği tek ayrıntı, bu mağazaları gerçek olanlardan ayırmaya yetmiyor. Birçoğu, taklit ettikleri markanın destek adresini veriyor. dreametechpro.shop, iletişim bilgisi olarak gerçek üreticinin kendi alan adındaki [email protected] adresini veriyor. Siparişi hiç eline ulaşmayan bir alıcı, siparişi hiç görmemiş bir şirkete şikayette bulunur. O şirketin destek ekibi de paranın ve ürünlerin nereye gittiğini açıklamak zorunda kalır. nebty, kayıtlarda bu şekilde ifşa edilmiş 2.494 iletişim adresi saymaktadır.

Aynı durum geçen hafta Trezor’da da görüldü; burada kimlik avı e-postası, üreticinin kendi gönderi adresinden gönderilmişti. Bir mağazanın gerçek olduğunu kanıtlaması gereken işaret de kopyalanıyor. Sahte mağazalar ikinci bir katman daha ekliyor. Bazı sayfalar, ilk bakışta aynı derecede inandırıcı görünen [email protected] gibi uydurma adresler kullanıyor.

Satın al düğmesine tıklamadan önce ödeme sayfası kart bilgilerinizi toplar

Hasar, ödeme aşamasında meydana geliyor. nebty, ağdaki birkaç ödeme sayfasını test etti. Kart numarası, son kullanma tarihi, güvenlik kodu, isim, e-posta adresi, telefon numarası ve posta adresini toplayan bir kod tespit etti. Şirketin BleepingComputer ile paylaştığı rapora göre, bu alanlardaki bilgiler WebSocket bağlantısı üzerinden tek tek saldırganların sunucusuna aktarılıyor. Bilgiler, girildikleri anda gönderiliyor. Formun gönderilmesi gerekmiyor.

Aynı rapora göre, kod ayrıca bankanın ödemeyi onaylamak için gönderdiği tek kullanımlık kodu da iletebiliyor. Bu onay, çalınan kart verilerinizin başka bir yerde kullanılmasına karşı sizi korur. Ancak dolandırıcıya yapılan bir ödemeyi onaylamaktan sizi korumaz. Ödemeyi kendiniz onayladığınızda bu durum gerçekleşir. nebty’nin halka açık blog yazısında bu bulguya yer verilmemiştir. Bu bilgi, sektöre yönelik yayın organına verilen rapordan alınmıştır.

Kopyaları nasıl tespit edebilirsiniz?

Tek başına bir ipucu hiçbir şeyi kanıtlamaz. Birkaç ipucu bir araya geldiğinde ise kanıt oluşturur. Bu mağazalar, gerçek ürünlerde yüzde 65’e varan indirimler vaat ediyor. Adresler, marka adı artı “store”, “direct”, “global” veya “hub” gibi dolgu kelimelerinden oluşan belirgin bir kalıba uyuyor. Eki neredeyse her zaman .shop’tur. nebty CEO’su Benedikt Scheungraber, doğrulanmış sayfaların yüzde 96’sının aynı yapı dosyalarını paylaştığını ve 27 ortak e-ticaret arka ucuna yönlendirildiğini söylüyor. Bu tekdüzelik, kümenin ilk etapta fark edilmesini sağlayan şeydi. Adresleri halka açık veritabanında arayabilirsiniz. Üreticinin kendi sitesi ve yetkili satıcı listesi daha güvenilir bir yoldur.

Ağ hâlâ faaliyette. Soruşturma tarihi itibarıyla 105.000’den fazla mağazaya hâlâ erişilebiliyordu. nebty, sayfaların çoğunun arkasındaki barındırma sağlayıcısıyla iletişime geçtiğini ancak yanıt alamadığını belirtiyor. Etkilenen markalar adına yapılan hedefli kaldırma işlemleri işe yarıyor. nebty’nin gözlemlerine göre, bu şekilde kaldırılan mağazalar çevrimdışı kalmaya devam etti.