מודעה בפיד מציעה מכשיר של סודהסטרים ב-65 אחוז הנחה. האתר שנפתח נראה בסדר גמור: תיאור המוצר זהה מילה במילה לזה שבאתר הרשמי, והתמונות נטענות ישירות מהשרתים של החברה האמיתית, כי הן באמת שלה. ההזמנה נשלחת, הכסף יורד, והחבילה לא מגיעה לעולם.

מה קרה

חוקרים בחברת האבטחה הגרמנית Nebty פרסמו מיפוי של רשת חנויות מזויפות שהם קראו לה DoppelCart. הם סופרים 118,787 דומיינים נפרדים בסיומת shop, כ-2.72 אחוז מכלל הדומיינים בסיומת הזאת. לפי הדיווח ב-BleepingComputer יותר מ-105 אלף מהחנויות עדיין פעילות, והן מחקות 44,182 מותגים שונים.

מה שקושר ביניהן הוא שהן כמעט אותו אתר בדיוק. ב-96 אחוז מהחנויות שאומתו נמצאו אותם קבצי בנייה, וכולן מתנקזות ל-27 שרתי מסחר בלבד. זאת לא מאה קבוצות שעובדות במקביל אלא מפעל אחד. לשם השוואה, הרשת הגדולה שתועדה עד היום, BogusBazaar, נספרה ב-2024 בכ-75 אלף אתרים.

החלק המעניין קורה בקופה. הקוד בעמוד התשלום שולח כל שדה שאתם מקלידים אל השרת של התוקפים תוך כדי ההקלדה, דרך חיבור שנשאר פתוח מול הדפדפן: מספר הכרטיס, תאריך התפוגה, שלוש הספרות בגב, השם, הכתובת והמייל. ואז מגיע השלב שמנטרל את ההגנה שרובנו סומכים עליה. הבנק שולח קוד אישור חד-פעמי ב-SMS, העמוד המזויף מבקש אותו כאילו הוא חלק רגיל מהתשלום, ומעביר אותו הלאה בזמן שהוא עדיין בתוקף. מבחינת הבנק העסקה אושרה כמו שצריך.

למה זה חשוב לכם

הדרך שמגיעים בה לחנויות האלה היא בדיוק הדרך שישראלים קונים אונליין: מודעה בפייסבוק או באינסטגרם, או תוצאה ממומנת בגוגל. הסיומת shop נמכרת לכל אחד בכמה דולרים ואין בה שום דבר שמעיד על חנות אמיתית. אחד המותגים שמחקים הכי הרבה הוא סודהסטרים הישראלית, שעל שמה לבדה נספרו יותר משלושים חנויות מזויפות.

יש כאן גם קורבן שני. מי שלא קיבל חבילה פונה אל המותג האמיתי, ושם מקבלים פניות של לקוחות זועמים על הזמנות שמעולם לא נרשמו ועל כסף שמעולם לא הגיע.

מה עושים?

אל תיכנסו לחנות דרך המודעה. אם ראיתם מבצע על מותג שאתם מכירים, הקלידו את שם המותג בעצמכם בשורת הכתובת או חפשו את האתר הרשמי, ובדקו שם אם המבצע בכלל קיים.

הנחה של 65 אחוז על מותג ידוע היא הסימן, לא ההזדמנות. זה בערך המספר שהרשת הזאת משתמשת בו כדי למשוך קונים.

את קוד האימות מה-SMS לא מוסרים לעמוד תשלום שהגעתם אליו ממודעה. קראו את גוף ההודעה ולא רק את הספרות שבה: הבנק כותב בתוכה מה בדיוק אתם מאשרים ולמי.

אם כבר שילמתם, התקשרו לחברת האשראי, בקשו לחסום את הכרטיס ולבטל את החיוב, ועברו על הפירוט של החודש האחרון. חיוב קטן ובודד הוא לרוב בדיקה של התוקפים לפני חיוב גדול.

האתר שנראה מקצועי לא מעיד על כלום, כי הוא באמת מקצועי. כל מה שיפה בו הועתק ממי שבנה אותו קודם.