Фейковые интернет-магазины превратились в скоординированный международный бизнес

Согласно отчёту Bitdefender Labs, операторы фейковых магазинов больше не полагаются на единичные мошеннические сайты. Вместо этого они развернули полноценную инфраструктуру с рекламными бюджетами, локализацией контента и методами уклонения от блокировок. Специалисты сопоставили более 40 доменов, связанных с этими операциями, и выявили повторяющиеся тактики, которые связывали кампании в разных странах.

Одним из наиболее активных каналов распространения стали объявления в Facebook*. Например, мошенники предлагали немецким пользователям смартфон Samsung Galaxy S26 Ultra за 249 евро, обещая скидку до девяноста процентов. Реклама перенаправляла жертв на домены shopintertec[.]com, shop.zppzddw[.]shop и shop.fjjfxxz[.]shop. Для придания легитимности использовались подставные рекламные аккаунты, не связанные с реальными продавцами. В Нидерландах аналогичная схема маскировалась под акции оператора KPN, а фишинговый магазин располагался по адресу crowndistrictstore.com.

Польская операция продемонстрировала, как одна и та же инфраструктура обслуживает подделку сразу нескольких брендов. Домен notcia.shop одновременно использовался для торговли под видом ZARA и Nike. В первом случае рекламировались итальянские модные товары и сезонные коллекции, во втором - спортивная одежда. При этом сайт собирал у жертв полные адреса доставки, включая номера домов и почтовые индексы. К связанным ресурсам также относились nebularaless.info, shryxla-mynx.icu и isblkx.shop. В Италии мошенники имитировали бренд H&M, используя домен cyberloria[.]cfd и рекламу в Facebook*.

Отдельное направление выстроено на платформе WhatsApp. Исследователи обнаружили оператора, называвшего себя "Карл" и работавшего из Китая. Он рассылал европейским пользователям сообщения с предложением купить копии товаров Nike, Adidas, Jordan, Golden Goose и люксовых аксессуаров якобы "1:1 качества". Жертв направляли в защищённые паролем каталоги на Yupoo, в том числе carl-album.x.yupoo.com и golden-goose.x.yupoo.com. Доставка обещалась через DHL в течение 7-12 дней. Другая кампания нацелилась на немецких фанатов футбола: через WhatsApp распространялись сообщения о выигрыше бесплатных фанатских наборов Adidas Deutschland 2026, приуроченных к чемпионату мира FIFA 2026. Использовалась сеть перенаправлений на доменах linkrdr.cc, rewardpillar.cc и других.

Для обхода традиционных проверок злоумышленники применяли визуально похожие домены с символами Юникода. Например, адреса adidȧs.com, ṇike.com или rołex.com выглядят как настоящие, но технически отличаются от оригинальных. Такие приёмы использовались для обещаний бесплатной обуви, часов или купонов.

Электронная почта тоже стала каналом атак. Мошенники массово рассылали фальшивые уведомления о заказах от имени SHEIN. Домены sheinnotice.com и sheinemail.com имитировали настоящие письма интернет-магазина. В одном из случаев юридическая документация хранилась на Google Drive, что нетипично для легитимных продавцов. Кроме того, зафиксированы поддельные сайты с футбольной атрибутикой ко чемпионату мира (footballiscrazy[.]com, unitedfutballjersey[.]com, kicksfireshoes[.]com.co), которые распространялись через email и SMS.

Одной из самых зрелых мошеннических сетей оказалась структура, действующая под названием "Homborg Online Handel". Немецкая ассоциация защиты прав потребителей Verbraucherschutz Deutschland online e.V. уже публиковала предупреждения об этой группе. Операторы запускают профессионально выглядящие магазины, предлагают множество вариантов оплаты, включая карты и PayPal, но на этапе оформления заказа принимают только SEPA-банковские переводы. После отправки средств вернуть их практически невозможно. Исследователи наблюдали быструю смену доменов: как только один блокируется, появляется новый. По состоянию на май 2026 года в сети действовали такие адреса, как alpinvolt[.]de, kaimoro[.]de, havro[.]de, kavri[.]de, heyomi[.]de, norya[.]de.

В Румынии мошенники использовали телефонные звонки. Жертвам сообщали, что они якобы уже сделали онлайн-заказ, и требовали подтвердить покупку или предоставить личные данные. Товары варьировались от одежды до БАДов и бытовой химии. Рекламные объявления с имитацией Lidl появлялись в результатах поиска, визуально копируя оформление настоящего ритейлера.

Проведённое расследование показывает, что фейковые магазины трансформировались из разрозненных мошеннических сайтов в скоординированные "фейк-коммерс" экосистемы. Операторы одновременно подделывают несколько брендов, меняют домены и адаптируют сообщения под местную аудиторию. Одни кампании нацелены на кражу платежей, другие - на сбор персональных данных и адресов доставки. Учитывая уже возникшие схемы, привязанные к чемпионату мира 2026 года, и признаки расширения деятельности в другие регионы Европы, потребителям следует ожидать дальнейшего роста активности фейковых магазинов на протяжении всего 2026 года.

* Компания Meta и её продукты (включая Instagram, Facebook, Threads) признаны экстремистскими, их деятельность запрещена на территории РФ.

Domain

• adidas555.x.yupoo.com
• alpinvolt.de
• amazon-clone-*.vercel.app
• bags.qiqiyg.com
• carl-album.x.yupoo.com
• crowndistrictstore.com
• cyberloria.cfd
• dealgo.cc
• dropshipexpress.net
• feasino.shop
• footballiscrazy.com
• golden-goose.x.yupoo.com
• havro.de
• heyomi.de
• isblkx.shop
• kaimoro.de
• kavri.de
• kicksfireshoes.com.co
• linkrdr.cc
• love-outdoor.com
• markandrebels.com
• msgdeal.cc
• nebularaless.info
• newsparkings.com
• norya.de
• notcia.shop
• offerpilot.cc
• qiqiyg.com
• rewardpillar.cc
• sheinemail.com
• sheinnotice.com
• shop.fjjfxxz.shop
• shop.jrsjrsx.shop
• shop.oqqovvy.shop
• shop.pjjpjjq.shop
• shop.zppzddw.shop
• shopintertec.com
• shryxla-mynx.icu
• unitedfutballjersey.com
• xy666999.x.yupoo.com
• zarino-originals.com
• zenouv.com