Компания InfoHawk 5 ноября опубликовала результаты расследования под названием Scamwich. Специалисты выявили 820 подозрительных доменов, имитирующих 35 ресторанных брендов США. На части сайтов обнаружен перехват реквизитов банковских карт. По состоянию на 4 ноября 367 доменов продолжали отдавать страницы; это не означает, что на каждом из них подтверждена кража данных
Разобранная исследователями подделка использовала обратный прокси: сервер злоумышленников получал страницы настоящего ресторана и показывал их под чужим адресом. Меню, цены и корзина оставались актуальными, а платёжную форму заменяли вредоносной. Для такой схемы взламывать сам ресторанный сайт не требуется. Поддельная форма собирала номер карты, срок действия, защитный код и контактные данные
Сайт также мог запросить код из банковского сообщения или подтверждение в приложении банка. Исследователи предполагают, что оператор в это время использует карту для другой покупки и управляет подсказками на поддельной странице, чтобы пройти банковскую проверку. Успех такого приёма зависит от того, как банк применяет подтверждение; участие оператора в отчёте обозначено как версия
В архиве рекламы специалисты нашли не менее 47 поисковых объявлений с похожими на ресторанные адресами, размещённых с 7 июля по 20 октября через как минимум 46 рекламных аккаунтов. К 3 ноября эти объявления уже не работали. Авторы допускают другие способы привлечения посетителей. Пользователям стоит проверять адрес сайта до ввода реквизитов: знакомое меню и защищённое соединение не подтверждают принадлежность страницы ресторану
Как отличить перехват оплаты от обычной незавершённой покупки? Одна брошенная корзина ещё не доказывает атаку. Предложенный исследователями контроль обращений через чужие домены и платежей, не дошедших до настоящего провайдера, требует сопоставления признаков: отсутствие заказа само по себе слишком неоднозначно для надёжного предупреждения
Первоисточник — InfoHawk
Сообщите редакции. Существенные исправления мы отмечаем в материале