FRITZ! och Dreame: 119 000 falska butiker tar dina kortuppgifter vid kassan

En sökning på en robotdammsugare eller en ny FRITZ!Box kan leda dig till en sådan kopia. Säkerhetsföretaget nebty, med säte i München, har dokumenterat ett nätverk med 119 012 bekräftade butiksdomäner. Hela databasen är nu offentlig. Sidorna använder produktbilder, beskrivningar och hela utseendet från riktiga återförsäljare. I vissa fall hämtar de bilderna direkt från det kopierade företagets egen bildserver. Enbart under toppdomänen .shop räknar nebty till 118 787 sådana adresser. Det motsvarar 2,72 procent av de 4 361 908 .shop-domäner som undersöktes. Det största jämförbara nätverket som hittills dokumenterats offentligt var BogusBazaar, som uppgick till cirka 75 000 domäner år 2024.

Tyska konsumenter är ingen undantagsgrupp här. Databasen listar 12 butiker som anger FRITZ! som varumärke. Bland dem finns avmonline.shop, fritzstore.shop och fritzdirect.shop. Samtliga 12 klassificerades som troligen aktiva när vi kontrollerade dem den 13 september. Tillverkaren av robotdammsugare, Dreame, står för 72 poster. Vi testade deras dammsugare L10s Ultra Gen 3 tidigare i år. På vissa av dessa butiker lyder sidtiteln DREAME Stores Deutschland. Andra utger sig för att vara landsbutiker för Italien, Frankrike, Spanien och Belgien. EcoFlow, Bluetti, Roborock, Narwal, Jackery, Keychron, HyperX och Sennheiser förekommer också i registret.

Supportadressen tillhör den riktiga tillverkaren

Den enda detalj som köpare brukar kontrollera skiljer inte dessa butiker från de äkta. Många av dem anger supportadressen för det varumärke de kopierar. dreametechpro.shop anger [email protected] som kontaktadress, en adress på den riktiga tillverkarens egen domän. En köpare vars beställning aldrig anländer klagar till ett företag som aldrig sett beställningen. Det företagets supportpersonal måste då förklara vart pengarna och varorna tog vägen. nebty räknar till 2 494 sådana exponerade kontaktadresser i registret.

Samma mönster uppträdde förra veckan hos Trezor, där phishing-mejlet skickades ut från tillverkarens egen avsändaradress. Tecknet som ska bevisa att en butik är äkta kopieras också. De falska butikerna lägger till ett andra lager. Vissa sidor använder påhittade adresser som [email protected], som vid en första anblick ser lika trovärdiga ut.

Kassan samlar in dina kortuppgifter innan du klickar på ”köp”

Det är vid betalningen som skadan uppstår. nebty testade flera kassasidor i nätverket. Man hittade kod som samlar in kortnummer, giltighetsdatum, säkerhetskod, namn, e-postadress, telefonnummer och postadress. I rapporten som företaget delade med BleepingComputer står det att dessa uppgifter skickas en efter en via en WebSocket-anslutning till angriparnas server. De skickas så fort de skrivs in. Det krävs inte att man skickar in formuläret.

Samma rapport visar att koden även kan vidarebefordra den engångskod som en bank skickar för att godkänna betalningen. Denna godkännande skyddar dig från att någon använder dina stulna kortuppgifter någon annanstans. Den skyddar dig inte från att bekräfta en betalning till bedragaren. Det är vad du gör när du själv godkänner den. nebty:s offentliga blogginlägg innehåller inte denna upptäckt. Den kommer från rapporten som överlämnades till branschmediet.

Hur man upptäcker kopiorna

En ledtråd i sig bevisar ingenting. Flera tillsammans gör det. Butikerna annonserar rabatter på upp till 65 procent på äkta produkter. Adresserna följer ett tydligt mönster bestående av varumärkesnamn plus ett fyllnadsord som till exempel store, direct, global eller hub. Tillägget är nästan alltid .shop. nebty:s vd Benedikt Scheungraber säger att 96 procent av de bekräftade sidorna har identiska byggfiler och pekar på 27 gemensamma e-handelsbackends. Det är just denna enhetlighet som gjorde klustret synligt från början. Du kan söka efter en adress i den offentliga databasen. Tillverkarens egen webbplats och dess lista över auktoriserade återförsäljare är den mer tillförlitliga vägen.

Nätverket är fortfarande i drift. Vid tidpunkten för undersökningen var fortfarande mer än 105 000 butiker tillgängliga. nebty uppger att man kontaktade webbhotellleverantören bakom de flesta sidorna utan att få något svar. Riktade nedtagningar på uppdrag av drabbade varumärken fungerar. De butiker som tagits bort på detta sätt har förblivit offline, enligt nebty:s iakttagelser.