Jaringan Penipuan DoppelCart Gunakan 119.000 Toko Palsu untuk Mencuri Data Kartu Kredit

Sebuah jaringan penipuan online berskala besar bernama DoppelCart diketahui mengoperasikan lebih dari 119.000 domain yang digunakan untuk menjalankan toko online palsu dan mencuri informasi kartu pembayaran dari para korbannya.

Temuan ini diungkap oleh startup keamanan siber asal Jerman, Nebty, yang menyebut DoppelCart sebagai klaster toko online palsu terbesar yang terdokumentasi secara publik berdasarkan jumlah domain.

Sebagian besar domain yang digunakan jaringan tersebut memakai ekstensi .SHOP. Jumlahnya bahkan diperkirakan setara dengan sekitar 2,72% dari seluruh situs yang menggunakan top-level domain (TLD) tersebut.

Nebty menyebut hasil pemindaian terbaru menunjukkan bahwa lebih dari 105.000 toko palsu DoppelCart masih aktif.

Puluhan ribu toko palsu meniru merek asli

DoppelCart menggunakan pendekatan yang membuat situs palsu terlihat seperti toko resmi. Para operator menyalin katalog produk, deskripsi, branding, hingga gambar dari perusahaan yang menjadi target.

Dalam sejumlah kasus, aset seperti gambar dan materi visual bahkan dimuat langsung dari server milik perusahaan asli.

CEO Nebty, Benedikt Scheungraber, mengatakan 96% toko yang telah dikonfirmasi sebagai bagian dari DoppelCart menggunakan build files yang identik dan mengarah ke hanya 27 commerce backend.

Hal tersebut menunjukkan bahwa jaringan ini kemungkinan dibangun menggunakan infrastruktur dan template yang sangat terstandarisasi, sehingga operator dapat membuat serta mengelola toko palsu dalam jumlah sangat besar.

Secara keseluruhan, toko-toko tersebut diketahui meniru 44.182 merek berbeda, dengan median sekitar dua situs tiruan untuk setiap merek.

Namun, beberapa perusahaan menjadi sasaran yang jauh lebih intensif. Merek seperti SodaStream, Velasca, CurrentBody, Daniel Wellington, Dreame, Horze, MOVA, dan SPARK PAWS masing-masing ditiru oleh lebih dari 30 toko palsu.

Diskon besar digunakan untuk memancing korban

Untuk menarik calon pembeli, toko-toko palsu DoppelCart menggunakan strategi yang umum dalam penipuan e-commerce, yaitu menawarkan harga yang jauh lebih murah dibandingkan harga normal.

Nebty menemukan banyak situs yang menawarkan diskon hingga 65%. Penawaran tersebut dirancang untuk menarik konsumen yang sedang mencari produk dengan harga murah.

Tampilan situs yang menyerupai toko resmi, ditambah katalog produk dan branding yang benar-benar dicuri dari perusahaan asli, dapat membuat korban sulit membedakan toko palsu dari situs resmi.

Masalahnya tidak berhenti pada kemungkinan korban membayar barang yang tidak pernah dikirim. Situs-situs tersebut juga dirancang untuk mengumpulkan informasi sensitif ketika korban melakukan checkout.

Data kartu dikirim secara real-time ke server penyerang

Saat menguji beberapa halaman checkout dalam jaringan DoppelCart, peneliti Nebty menemukan kode yang dirancang untuk mengumpulkan berbagai informasi pembayaran dan data pribadi korban.

Informasi yang dapat dikumpulkan mencakup:

• Nomor kartu pembayaran
• Tanggal kedaluwarsa kartu
• Security code
• Nama pemegang kartu
• Alamat email
• Nomor telepon
• Alamat fisik

Data tersebut dikirim secara real-time melalui WebSockets menuju server command-and-control (C2) yang dikendalikan penyerang.

Dengan mekanisme tersebut, operator DoppelCart tidak perlu menunggu korban menyelesaikan proses transaksi sebelum mendapatkan data yang dimasukkan pada halaman checkout.

Bahkan kode OTP bank dapat dicuri

Yang lebih mengkhawatirkan, kode checkout yang digunakan situs DoppelCart juga mampu meneruskan kode konfirmasi satu kali (OTP) yang dikirim oleh bank kepada korban.

Kode tersebut berpotensi digunakan penyerang untuk melewati lapisan keamanan tambahan yang diterapkan oleh bank pada transaksi kartu pembayaran.

Artinya, risiko dari toko palsu ini bukan sekadar kehilangan uang karena membeli barang yang tidak pernah dikirim. Data yang dikumpulkan dapat memberikan penyerang informasi yang jauh lebih lengkap untuk melakukan penyalahgunaan kartu atau serangan lanjutan.

Korban bisa menghubungi perusahaan yang sebenarnya

DoppelCart juga menggunakan trik lain yang dapat membuat penipuan semakin sulit dikenali.

Beberapa toko palsu diketahui menampilkan alamat dukungan pelanggan milik merek yang mereka tiru. Akibatnya, korban yang tidak menerima barang setelah melakukan pembayaran dapat menghubungi perusahaan asli untuk mengajukan keluhan.

Kondisi tersebut dapat merugikan perusahaan yang menjadi korban impersonasi karena mereka harus menangani keluhan konsumen atas transaksi yang sebenarnya tidak pernah dilakukan melalui toko resmi mereka.

Di sisi lain, perusahaan juga berpotensi mengalami kerusakan reputasi karena konsumen mengira mereka bertanggung jawab atas toko online tersebut.

DoppelCart lebih besar dari BogusBazaar

Skala DoppelCart disebut jauh melampaui jaringan toko palsu besar sebelumnya, BogusBazaar.

BogusBazaar diketahui pernah mengoperasikan sekitar 75.000 situs dan diperkirakan mencatat sekitar 850.000 transaksi penipuan.

Dengan lebih dari 119.000 domain, DoppelCart kini menjadi klaster toko palsu terbesar yang diketahui berdasarkan jumlah domain, setidaknya berdasarkan dokumentasi publik yang tersedia.

Menariknya, Nebty masih menemukan lebih dari 105.000 situs DoppelCart yang aktif dalam pemindaian terbaru. Hal ini menunjukkan bahwa operasi tersebut bukan sekadar kumpulan situs lama yang ditinggalkan, tetapi masih memiliki infrastruktur aktif dalam skala sangat besar.

Nebty menyediakan database untuk membantu perusahaan

Untuk membantu perusahaan menemukan situs yang menyalahgunakan merek mereka, Nebty membuat database DoppelCart yang dapat dicari.

Database tersebut memungkinkan perusahaan memeriksa indikasi impersonasi dan brand abuse yang berkaitan dengan jaringan toko palsu tersebut, sehingga tindakan pemblokiran atau penanganan lebih lanjut dapat dilakukan.

Nebty juga mengatakan telah mencoba menghubungi penyedia hosting utama yang digunakan oleh situs-situs DoppelCart. Namun, perusahaan tersebut belum mendapatkan tanggapan.

Bagi konsumen, temuan ini kembali menunjukkan pentingnya berhati-hati ketika menemukan toko online yang menawarkan diskon tidak masuk akal, terutama jika domain, informasi kontak, metode pembayaran, atau reputasi situs tersebut tidak dapat diverifikasi.

Dengan jumlah situs mencapai lebih dari 119.000 domain, memeriksa nama toko secara sekilas saja tidak lagi cukup untuk memastikan sebuah situs benar-benar merupakan toko resmi.

Sumber: Nebty