BogusBazaar — как сеть фальшивых магазинов собирала данные банковских карт

Авторская подпись «Даниил Ветров» — редакционный псевдоним Client Reviews. Это разбор открытых источников, а не личная история покупателя.

Сайт выглядел как обычный магазин одежды. На странице были товары известных брендов, фотографии, сниженные цены и форма оплаты. Покупатель мог потерять деньги ещё до того, как понял, что товара не существует. Исследователи Security Research Labs назвали эту сеть BogusBazaar и показали её устройство в докладе на YouTube.

Как работали поддельные магазины

По исследованию SRLabs, с 2021 года сеть использовала более 75 тысяч доменов. Около 22,5 тысячи из них были активны в апреле 2024 года. Исследователи оценили число затронутых покупателей более чем в 850 тысяч. Эти оценки описывают масштаб выявленной сети на дату исследования, а не сегодняшнее число работающих сайтов.

Схема работала двумя путями. Поддельная платёжная страница собирала данные карты и контакты покупателя. Иногда после сообщения об ошибке человека перенаправляли на действующий платёжный шлюз и проводили оплату заказа. В результате покупатель мог и заплатить за вещь, которую не получит, и передать реквизиты карты.

Создателям сети помогала массовая сборка магазинов. Они брали домены, у которых уже была история в поиске, меняли названия и логотипы сайтов, а платёжные страницы могли заменять отдельно. Блокировка одной страницы поэтому не останавливала остальные магазины. SRLabs описывает центральную команду, которая поддерживала инфраструктуру, и отдельных операторов магазинов. В докладе это показано как работающая система, а не серия случайных копий сайтов.

Где покупатель мог остановиться

Большая скидка сама по себе ничего не доказывает. Продавца нужно проверить, если неизвестный магазин предлагает брендовый товар по необычно низкой цене и сразу просит данные карты. Стоит отдельно проверить адрес сайта, сведения о продавце и независимые упоминания домена. Такой порядок проверки продавца рекомендует и FTC в памятке об онлайн-покупках. Если платёжная форма выдала ошибку после ввода реквизитов, нельзя считать, что данные никуда не ушли. Безопаснее сразу связаться с банком через его официальное приложение или номер на карте и обсудить блокировку карты и спорную операцию.

Источник кейса: доклад о BogusBazaar на YouTube и публикация исследователей SRLabs.