119 000 fausses boutiques, et le paiement vous demande le code que votre banque vient de vous envoyer
En juillet, nous avions parlé de 120 fausses boutiques Walmart qui vendaient du whisky qui n'existait pas. Cela ressemble aujourd'hui à de l'artisanat. Les chercheurs de la société de sécurité allemande Nebty ont publié les détails d'un réseau qu'ils appellent DoppelCart : près de 119 000 domaines de fausses boutiques, dont plus de 105 000 sont encore actifs. Il représente 2,72 pour cent de toutes les adresses .shop examinées, ce qui en fait le plus grand ensemble de fausses boutiques jamais documenté en nombre de domaines.
Ces boutiques clonent de vraies entreprises. Catalogues de produits, descriptions, logos et photographies, parfois récupérés directement sur les serveurs de la véritable société. Nebty a recensé 44 182 marques copiées, soit environ deux fausses boutiques chacune, même si certaines ont eu droit à bien plus d'attention : SodaStream, Daniel Wellington, CurrentBody, Dreame, Horze, Velasca, MOVA et SPARK PAWS comptent chacune plus de 30 clones. Les remises atteignent 65 pour cent, et c'est tout l'intérêt. En dessous, 96 pour cent des sites partagent des fichiers identiques et renvoient vers seulement 27 serveurs de gestion : il s'agit d'une seule opération, pas de milliers.
Voici ce qu'il faut retenir. Le paiement ne se contente pas de récupérer votre numéro de carte, la date d'expiration et le code de sécurité pour les stocker. Il transmet tout aux escrocs pendant que vous tapez, via des WebSockets, et il vous demandera aussi le code de vérification envoyé par SMS par votre banque. Quelqu'un se trouve à l'autre bout et valide un vrai paiement en temps réel. Un code reçu de votre banque en plein paiement ne prouve donc pas que la boutique est authentique. Il prouve peut-être le contraire.
La parade est ennuyeuse et elle fonctionne : n'arrivez jamais sur une boutique depuis une publicité. Tapez vous-même le nom du commerçant, ou cherchez l'adresse exacte suivie du mot avis avant d'acheter. Payez par carte de crédit, dont un débit frauduleux peut être annulé. Et si l'un de ces sites vous a aussi persuadé d'installer quelque chose ou a ajouté une extension à votre navigateur, l'assistant de réparation "navigateur détourné" de Tendvane est le moyen le plus rapide de le remettre en état.