Поддельные интернет-магазины, замаскированные под известные потребительские бренды, продвигают через рекламные объявления в Google Shopping. Покупатель ищет знакомую марку, кликает по первой ссылке и попадает на аккуратную витрину. Оплата там уходит не продавцу, а мошенникам: страница оформления заказа собирает данные банковских карт и учётные записи платёжных сервисов. Схема работает прямо сейчас и охватывает тысячи площадок. Жертвами становятся обычные покупатели, а риски ложатся на банки и на розничные сети, чьи имена используют без разрешения. Инструменты для сборки таких витрин распространяют в китайскоязычных мошеннических сообществах.
Описание
Витрины в этой кампании - настоящие магазины на платформе Shopify. Злоумышленники регистрируют их от имени известных брендов и добавляют в оформление небольшой скрипт. Когда покупатель нажимает кнопку оформления заказа, скрипт перехватывает нажатие. Со страниц Shopify человека уводит на сторонний ресурс, повторяющий оформление заказа настоящего бренда. Тот же скрипт через служебный доступ магазина создаёт реальный оплаченный заказ. Затем жертве приходит подлинное письмо с подтверждением покупки, поэтому обмана она не замечает. Отправку карточных данных скрипт заодно сообщает рекламной системе как успешное действие. Тот же сигнал помогает автоматическому подбору аудитории находить новых покупателей, похожих на только что обманутого человека.
Размах кампании измеряется тысячами площадок. По данным Bfore, в схеме задействовано более двух тысяч магазинов на Shopify, и каждую неделю появляется около ста новых. Часть витрин имитирует бренды косметики и одежды, часть - менее известные марки. Реклама в Google Shopping направляет к ним покупателей. Страница оформления заказа играет роль фишинговой, то есть поддельной, созданной для выманивания данных, и с настоящим продавцом не связана. Магазины живут недолго: после волны жалоб их заменяют свежими копиями. Спрос подогревают готовые наборы, где арендатору остаётся выбрать бренд и подключить рекламу.
Внутри кампании работают два набора инструментов. Первый связывают с операцией Outsider - сервисом, который сдаёт поддельные страницы в аренду по подписке. Против него Google подала иск в июне 2026 года, а ФБР провело операцию Ghost Hook. Этот набор действует в реальном времени: живой оператор следит за тем, что печатает жертва, и подгружает следующий экран. Фальшивые платёжные страницы загружаются с сервера злоумышленников, а не из магазина. Набор умеет собирать данные карт, PayPal, Apple ID, Klarna, Afterpay и American Express. Он же показывает экраны дополнительной проверки через СМС, почту, PIN-код и подтверждение в банковском приложении. В изученных магазинах работали только карты, Klarna и Afterpay.
Кампания пережила ответные меры. Спустя месяцы после операции ФБР тот же набор по-прежнему разворачивают на новых магазинах. Второй набор получил название Playswing. Устроен он иначе, но оставлен той же командой: в коде совпадают служебные метки. Вместо отдельных страниц здесь единое веб-приложение с другим протоколом обмена сообщениями и отдельной серверной частью. Покупателя оно уводит на платёжный узел, привязанный к конкретному магазину. В наблюдаемых витринах работал сбор карточных данных, тогда как сценарии PayPal, Klarna и American Express присутствовали в коде, но вживую не включались.
Особый интерес вызвала панель управления второго набора. Её клиентскую часть отдавали без запроса логина, поэтому устройство панели удалось изучить. Внутри есть раздельные роли для сотрудников, включая тех, кто отвечает за рекламу, и тех, кто ведёт фишинг. Жизненный цикл магазина отслеживается по восьми стадиям, от регистрации до удаления. Учётные записи клиентов содержат менеджера продаж, тариф и лицензии на рабочие места. Там же хранится дата окончания подписки и платёж, который списывают раз в день, месяц, квартал или год. Отдельный модуль следит за рекламными аккаунтами и за тем, какие карты начинают отклоняться, чтобы вовремя менять их на новые. Для управления всем этим панель использует коммерческий браузер, подменяющий цифровой отпечаток устройства. Каждый профиль получает свой отпечаток и прокси, то есть посредника для подмены сетевого адреса. Профиль привязывается к рекламному аккаунту, магазину, каналу обналичивания или украденной личности.
Панель хранит отдельные модули для захваченных карт и для украденных личностей. В карточном модуле есть поля банка-эмитента и класса карты. Там же собраны правила распределения между каналами обналичивания и отметка о том, прошла ли карта дополнительную банковскую проверку. Модуль личностей хранит данные жителей США: номер социального страхования, адрес, название компании с ограниченной ответственностью, регистрационный номер и загруженные копии документов. Кража и списание происходят в разных местах. К тому же фальшивый магазин сам ничего не обрабатывает, поэтому долго остаётся незамеченным. Украденные данные обналичивают у других продавцов и в других банках.
Жертва нередко подтверждает операцию своими руками. Живой оператор пересылает её одноразовый код или согласие в банковском приложении, чтобы завершить платёж, поэтому дополнительные защиты не срабатывают. Данные уходят оператору в ту же секунду, когда человек их вводит. Попутно перехватывают PIN-код, код American Express и логин в интернет-банк. Такого набора хватает для захвата аккаунта и открытия новых счетов на чужое имя.
Покупателям стоит насторожиться, если магазин известного бренда открылся совсем недавно, а скидки выглядят щедрее обычного. Проверка адреса сайта и отказ вводить карточные данные по ссылке из рекламного объявления снижают риск. Банкам и платёжным провайдерам кампания важна по другой причине: подтверждение покупки приходит настоящее, и автоматические проверки видят легитимную операцию. Розничным сетям имеет смысл искать клоны своих витрин на площадках электронной коммерции и добиваться их блокировки. За схемой стоит промышленная организация с распределением ролей, тарифами и подписками, поэтому отдельные блокировки дают лишь временный эффект.
Индикаторы компрометации
