הכתובת נראית כמעט בסדר: alish0p.com, עם אפס במקום ה-O במילה shop. העמוד עצמו מעוצב יפה, מציג עוזר קניות לעליאקספרס שעוקב אחרי ירידות מחיר, ומבטיח שיותר מחצי מיליון קונים כבר סומכים עליו. בתחתית יש כפתור אחד, Add to Browser, וזה כל מה שהאתר רוצה מכם.

מה קרה

חוקרי חברת EfficientIP סימנו ב-9 ביוני עשר כתובות אינטרנט שבאותו רגע עוד לא היו רשומות לאף אחד. כולן בסיומת cyou., כולן באותו מבנה מדויק של ספרה אחת וחמש אותיות קטנות. ב-2 ביולי הכתובות נרשמו בפועל והתחילו להצביע על שלוש כתובות IP באותה רשת. אף אחת מהן לא הכילה את ההונאה עצמה, וזה בדיוק העניין: כל כתובת רק העבירה את הגולש הלאה, דרך שכבת מעקב שסופרת קליקים והפניות. ככה מי שמפעיל את הקמפיין מחליף כתובת שנחסמה בלי לבנות מחדש את כל המערך.

בסוף השרשרת חיכה האתר שהתחזה לעוזר הקניות. העיצוב שלו חיקה את Alitools, מותג אמיתי של תוסף למעקב מחירים בעליאקספרס, והמוצר שהוא דחף היה תוסף דפדפן. תוסף כזה הוא תוכנה קטנה שיושבת בתוך הדפדפן עצמו, ולכן הוא רואה כל עמוד שאתם פותחים אחר כך: גם את אתר הבנק, גם את עמוד התשלום בחנות. תוסף זדוני לא צריך לפרוץ לכם למחשב. מספיק שתאשרו לו להיכנס. לפי EfficientIP, מי שהתקין את התוסף חשף את הסיסמאות, פרטי התשלום והגלישה שלו, ובמקביל מפעילי הקמפיין הרוויחו עמלות שיווק על ההפניות.

כמה אנשים באמת הגיעו לשם? החוקרים לא יודעים. כריסטוף ז'ירר מ-EfficientIP אמר שהם יכולים לאשר רק שגולשים משמונה ספקי תקשורת שונים, בכמה מדינות, ניגשו לאתר. גם המספר שמתנוסס על העמוד, יותר מ-500 אלף משתמשים, מגיע מהאתר המזויף עצמו ולא מגורם עצמאי. גם ההגדרה שהחוקרים נתנו לכתובות, כאלה שנוצרו אוטומטית, היא הערכה שלהם, והם עצמם הדגישו שהתבנית לבדה לא מוכיחה את זה.

למה זה חשוב לכם

עליאקספרס הוא מאתרי הקניות הפופולריים בישראל, ותוספים שמשווים מחירים ועוקבים אחרי הנחות הם בדיוק מה שקונה ישראלי מחפש. הפרט המעניין כאן הוא התזמון: שירות הניתוח ANY.RUN כבר סימן את האתר כפישינג ב-22 במאי, שבועות לפני שכתובות ההפניה בכלל עלו לאוויר. מנגנוני חסימה שמסתמכים על המוניטין של כתובת מתקשים דווקא מול כתובות חדשות לגמרי, שאין להן עדיין שום היסטוריה להישפט לפיה.

מה עושים?

פתחו עכשיו את רשימת התוספים בדפדפן (בכרום דרך chrome://extensions, בפיירפוקס דרך about:addons) ומחקו כל דבר שאתם לא זוכרים שהתקנתם בעצמכם.

התקינו תוספים רק מהחנות הרשמית של הדפדפן, ובדקו שם את מספר המשתמשים ואת שם המפתח. מספר שמודפס על עמוד שיווקי לא אומר כלום.

אם התקנתם את התוסף הזה, הסירו אותו, החליפו את הסיסמאות של החשבונות שנכנסתם אליהם מאותו דפדפן ופנו לחברת האשראי.

אל תגיעו לאתרי קניות דרך קישור בפרסומת או בהודעה. הקלידו את הכתובת בעצמכם או השתמשו באפליקציה הרשמית.

האפס שבמקום ה-O הוא הפרט הכי קל לפספס בכל השרשרת הזאת, והיחיד שהיה אפשר לראות לפני הלחיצה.