FRITZ! e Dreame: 119.000 lojas falsas aceitam seu cartão no momento do pagamento

Uma busca por um robô-aspirador ou um novo FRITZ!Box pode levá-lo a uma página falsa. A empresa de segurança nebty, com sede em Munique, documentou uma rede de 119.012 domínios de lojas confirmados. O banco de dados completo já está disponível ao público. As páginas utilizam fotos de produtos, descrições e todo o visual de varejistas reais. Em alguns casos, os gráficos são carregados diretamente do próprio servidor de imagens da empresa copiada. Somente sob o sufixo .shop, a nebty contabiliza 118.787 endereços desse tipo. Isso representa 2,72% dos 4.361.908 domínios .shop que foram examinados. A maior rede comparável documentada publicamente até o momento era a BogusBazaar, que atingiu cerca de 75.000 domínios em 2024.

Os consumidores alemães não são uma exceção neste contexto. O banco de dados lista 12 lojas que citam a marca FRITZ! Entre elas estão avmonline.shop, fritzstore.shop e fritzdirect.shop. Todas as 12 foram classificadas como provavelmente ativas quando verificamos em 13 de setembro. A fabricante de aspiradores robóticos Dreame é responsável por 72 entradas. Analisamos seu aspirador L10s Ultra Gen 3 no início deste ano. Em algumas dessas lojas, o título da página é “DREAME Stores Deutschland”. Outras se apresentam como lojas nacionais da Itália, França, Espanha e Bélgica. EcoFlow, Bluetti, Roborock, Narwal, Jackery, Keychron, HyperX e Sennheiser também constam no registro.

O endereço de suporte pertence ao fabricante legítimo

O único detalhe que os compradores verificam não distingue essas lojas das verdadeiras. Muitas delas fornecem o endereço de suporte da marca que copiam. O site dreametechpro.shop indica [email protected] como seu contato, um endereço no próprio domínio do fabricante verdadeiro. Um comprador cujo pedido nunca chega reclama com uma empresa que nunca recebeu o pedido. A equipe de atendimento dessa empresa precisa então explicar para onde foram o dinheiro e as mercadorias. A nebty contabiliza 2.494 endereços de contato expostos desse tipo no registro.

O mesmo padrão se repetiu na semana passada na Trezor, onde o e-mail de phishing foi enviado a partir do próprio endereço de remetente do fabricante. O sinal que deveria comprovar que uma loja é verdadeira também é copiado. As lojas falsas acrescentam uma segunda camada. Algumas páginas utilizam endereços inventados, como [email protected], que parecem igualmente plausíveis à primeira vista.

A página de finalização de compra coleta os dados do seu cartão antes mesmo de você clicar em “comprar”

É na hora do pagamento que ocorre o dano. A nebty testou várias páginas de finalização de compra na rede. Ela encontrou código que coleta o número do cartão, a data de validade, o código de segurança, o nome, o endereço de e-mail, o número de telefone e o endereço postal. O relatório que a empresa compartilhou com o BleepingComputer afirma que esses campos são transmitidos, um por um, por meio de uma conexão WebSocket para o servidor dos invasores. Eles são enviados no momento em que são digitados. Não é necessário enviar o formulário.

O mesmo relatório afirma que o código também pode retransmitir o código de uso único que o banco envia para aprovar o pagamento. Essa aprovação protege o usuário contra a utilização dos dados roubados do cartão em outro lugar. Ela não o protege contra a confirmação de um pagamento ao fraudador. Isso é o que ocorre quando o próprio usuário aprova a transação. A publicação no blog público da nebty não inclui essa descoberta. A informação provém do relatório entregue ao veículo especializado.

Como identificar as cópias

Uma pista por si só não prova nada. Várias juntas, sim. As lojas anunciam descontos de até 65% em produtos reais. Os endereços seguem um padrão visível: o nome da marca mais uma palavra de preenchimento, como “store”, “direct”, “global” ou “hub”. O sufixo é quase sempre .shop. O diretor executivo da nebty, Benedikt Scheungraber, afirma que 96% das páginas confirmadas compartilham arquivos de compilação idênticos e remetem a 27 back-ends de comércio compartilhados. Essa uniformidade foi o que tornou o cluster visível em primeiro lugar. É possível consultar um endereço no banco de dados público. O site do próprio fabricante e sua lista de revendedores autorizados constituem a via mais confiável.

A rede ainda está em funcionamento. Mais de 105.000 lojas ainda estavam acessíveis no momento da investigação. A nebty afirma ter entrado em contato com o provedor de hospedagem responsável pela maioria das páginas e não ter obtido resposta. Remoções direcionadas em nome das marcas afetadas são eficazes. As lojas removidas dessa forma permaneceram fora do ar, de acordo com as observações da nebty.