FRITZ! et Dreame : 119 000 boutiques frauduleuses vous demandent votre numéro de carte bancaire lors du paiement

Une recherche portant sur un aspirateur robot ou une nouvelle FRITZ!Box peut vous mener vers une page copiée. La société de sécurité nebty, basée à Munich, a recensé un réseau de 119 012 domaines de boutiques en ligne confirmés. La base de données complète est désormais accessible au public. Ces pages reprennent les photos de produits, les descriptions et l'apparence générale de véritables détaillants. Dans certains cas, les images sont chargées directement depuis le serveur d’images de l’entreprise copiée. Rien que sous l’extension .shop, nebty recense 118 787 adresses de ce type. Cela représente 2,72 % des 4 361 908 domaines .shop qu’elle a examinés. Le plus grand réseau comparable répertorié publiquement jusqu’à présent était BogusBazaar, qui comptait environ 75 000 domaines en 2024.

Les consommateurs allemands ne font pas figure d’exception ici. La base de données recense 12 boutiques qui citent FRITZ! comme marque. Parmi celles-ci figurent avmonline.shop, fritzstore.shop et fritzdirect.shop. Les 12 sites étaient tous classés comme probablement actifs lors de notre vérification du 13 septembre. Le fabricant d’aspirateurs robots Dreame compte pour lui 72 entrées. Nous avons testé son aspirateur L10s Ultra Gen 3 plus tôt cette année. Sur certaines de ces boutiques, le titre de la page indique « DREAME Stores Deutschland ». D’autres se présentent comme des points de vente nationaux pour l’Italie, la France, l’Espagne et la Belgique. EcoFlow, Bluetti, Roborock, Narwal, Jackery, Keychron, HyperX et Sennheiser figurent également dans la base de données.

L’adresse du service client appartient au véritable fabricant

Le seul détail que les acheteurs vérifient ne permet pas de distinguer ces boutiques des véritables. Beaucoup d’entre elles indiquent l’adresse du service client de la marque qu’elles imitent. dreametechpro.shop donne [email protected] comme coordonnée, une adresse située sur le domaine du véritable fabricant. Un acheteur dont la commande n’arrive jamais se plaint auprès d’une entreprise qui n’a jamais eu connaissance de cette commande. Le service client de cette entreprise doit alors expliquer où sont passés l’argent et les marchandises. nebty recense 2 494 adresses de contact ainsi exposées dans la base de données.

Le même schéma s’est produit la semaine dernière chez Trezor, où l’e-mail de hameçonnage a été envoyé depuis l’adresse de messagerie du fabricant lui-même. Le signe censé prouver l’authenticité d’une boutique est également copié. Les fausses boutiques ajoutent une deuxième couche de tromperie. Certaines pages utilisent des adresses inventées, telles que [email protected], qui semblent tout aussi plausibles à première vue.

La page de paiement recueille les informations de votre carte avant même que vous ne cliquiez sur « Acheter »

C’est au moment du paiement que le préjudice se produit. nebty a testé plusieurs pages de paiement au sein du réseau. L’entreprise a découvert un code qui collecte le numéro de carte, la date d’expiration, le code de sécurité, le nom, l’adresse e-mail, le numéro de téléphone et l’adresse postale. Le rapport que l’entreprise a partagé avec BleepingComputer indique que ces champs sont transmis un par un via une connexion WebSocket vers le serveur des pirates. Ils sont envoyés dès qu’ils sont saisis. Il n’est pas nécessaire de valider le formulaire.

Ce même rapport précise que le code peut également transmettre le code à usage unique envoyé par la banque pour valider le paiement. Cette validation vous protège contre l’utilisation de vos données de carte volées par un tiers ailleurs. Elle ne vous protège toutefois pas contre la confirmation d’un paiement au fraudeur. C’est ce que vous faites lorsque vous validez vous-même le paiement. L’article de blog public de nebty ne mentionne pas cette découverte. Elle provient du rapport remis au média spécialisé.

Comment repérer les contrefaçons

Un indice pris isolément ne prouve rien. Mais plusieurs indices pris ensemble sont révélateurs. Les boutiques proposent des remises allant jusqu’à 65 % sur des produits authentiques. Les adresses suivent un schéma reconnaissable : le nom de la marque suivi d’un mot de remplissage tel que « store », « direct », « global » ou « hub ». L’extension est presque toujours .shop. Benedikt Scheungraber, directeur général de nebty, indique que 96 % des pages confirmées partagent des fichiers de construction identiques et renvoient à 27 back-ends de commerce en ligne communs. C’est cette uniformité qui a permis de repérer ce groupe dès le départ. Vous pouvez rechercher une adresse dans la base de données publique. Le site du fabricant lui-même et sa liste de revendeurs agréés constituent toutefois une source plus fiable.

Le réseau est toujours en activité. Plus de 105 000 boutiques étaient encore accessibles au moment de l’enquête. nebty indique avoir contacté l’hébergeur à l’origine de la plupart de ces pages, sans obtenir de réponse. Les demandes de retrait ciblées, formulées au nom des marques concernées, s’avèrent efficaces. Les boutiques supprimées de cette manière sont restées hors ligne, selon les observations de nebty.