Tutti questi 119.000 ecommerce sono falsi: rubano carte e codici OTP. Cos'è DoppelCart

Un negozio online graficamente curato, un catalogo credibile, fotografie originali del produttore e uno sconto del 60% possono bastare per convincere un acquirente che sta comprando dal sito ufficiale di un marchio conosciuto. L’operazione DoppelCart, però, svela che dietro tante vetrine (sono quasi 119.000 gli ecommerce malevoli sin qui rinvennuti) può esserci una macchina industriale costruita per clonare migliaia di attività commerciali e raccogliere direttamente i dati delle carte di pagamento.

L’indagine pubblicata dalla società tedesca nebty ha portato all’individuazione di una fitta rete di nomi di dominio non ufficiali, che imitano quelli di marchi famosi, tutti collegati alla stessa rete tecnica. Cosa ancora più preoccupante è che oltre 105.000 di questi domini “abusivi” risultano ancora attivi.

Le frodi basate su falsi ecommerce non sono nuove: nel 2024 Security Research Labs aveva documentato BogusBazaar, infrastruttura composta da oltre 75.000 negozi fasulli e associata a circa 850.000 transazioni fraudolente. DoppelCart porta però il fenomeno su una scala ancora superiore: nebty la considera, per numero di domini associati, la più grande rete di fake shop pubblicamente documentata.

Analizzando la zona DNS .shop a settembre 2026 (gli aggressori registrano nomi con brand famosi proprio all’interno del TLD .shop), hanno attribuito al cluster di DoppelCart 118.787 domini su 4.361.908 presenti nel TLD. Significa il 2,72% dei domini .shop esaminati, circa uno ogni 37.

DoppelCart non crea semplici copie grafiche dei negozi

La parte più efficace della frode è probabilmente quella meno sofisticata dal punto di vista informatico: i falsi negozi utilizzano materiale autentico. Cataloghi, nomi dei prodotti, descrizioni, loghi, fotografie e altri elementi arrivano dai siti originali delle aziende impersonate. In alcuni casi nebty ha trovato testi riprodotti integralmente; in altri l’HTML del negozio fraudolento richiamava direttamente file memorizzati sui server del marchio legittimo.

Per chi visita il sito il risultato può essere molto convincente. Un prodotto già conosciuto appare con fotografie corrette, descrizioni tecniche accurate e un’identità visiva familiare.

A quel punto entra in gioco la leva economica: diversi negozi DoppelCart pubblicizzano ribassi fino al 65%. La combinazione tra materiale originale e prezzo eccezionale abbassa facilmente la soglia di attenzione dell’acquirente.

Secondo i dati condivisi, la rete ha imitato almeno 44.182 marchi, con una media di due cloni per ciascun brand. SodaStream, Velasca, CurrentBody, Daniel Wellington, Dreame, Horze, MOVA e SPARK PAWS figurano tra i nomi presi maggiormente di mira, con più di 30 negozi falsi ciascuno.

Il motore di ricerca confezionato da nebty permette di individuare tantissimi esempi di siti clone malevoli, di marchi italiani e stranieri.

119.000 domini, ma gran parte della macchina tecnica è condivisa

Guardando sotto la superficie emerge la caratteristica forse più interessante di DoppelCart. Benedikt Scheungraber, CEO di nebty, ha spiegato che circa il 96% dei negozi confermati condivide gli stessi file di build e che i siti convergono verso appena 27 backend commerciali. La moltitudine di domini, quindi, nasconde una base tecnica molto più concentrata.

È proprio questo elemento che permette di collegare siti apparentemente indipendenti. Cambiano dominio, nome del negozio e marchio copiato, ma sotto sotto rimangono elementi ricorrenti e un insieme limitato di sistemi centrali. Il front-end cambia abito mentre buona parte dell’infrastruttura sottostante rimane la stessa.

Il vero obiettivo compare quando la vittima arriva al checkout

Un falso negozio online potrebbe limitarsi a incassare denaro per prodotti che non saranno mai spediti. DoppelCart aggiunge un elemento ben più pericoloso: nebty ha analizzato diversi checkout trovando codice progettato per acquisire numero della carta, data di scadenza, codice di sicurezza, nome del titolare, indirizzo email, numero telefonico e indirizzo fisico.

Il codice di sicurezza della carta, indicato a seconda del circuito come CVV2, CVC2, CID o con altre denominazioni, merita particolare attenzione.

Il PCI Security Standards Council lo classifica come Sensitive Authentication Data: può servire durante l’autorizzazione di una transazione, ma PCI DSS (Data Security Standard) vieta di conservarlo dopo l’autorizzazione, anche in forma cifrata. Per un criminale che vuole tentare pagamenti online con una carta sottratta, avere contemporaneamente tutti questi dati rende il pacchetto molto più interessante.

DoppelCart non aspetta necessariamente che il falso ordine termini. Secondo il report pubblicato da nebty, i campi inseriti dall’utente possono raggiungere l’infrastruttura di comando e controllo tramite WebSocket in tempo reale. A differenza del classico modello HTTP basato su una successione di richieste e risposte indipendenti, una connessione WebSocket consente al browser e al server di mantenere un canale bidirezionale persistente.

Per gli aggressori significa poter ricevere rapidamente i dati mentre la vittima procede nel checkout. Anche quando non completasse l’ordine o cominciasse a sospettare qualcosa durante l’inserimento dei dati.

Anche il codice OTP della banca può finire agli aggressori

Nei pagamenti online entra spesso in gioco EMV 3-D Secure: l’emittente della carta può autorizzare alcune transazioni senza ulteriori interazioni oppure richiedere una challenge quando ritiene necessario verificare con maggiore certezza il titolare. La challenge può utilizzare un OTP, un’approvazione tramite applicazione bancaria, dati biometrici o altri metodi.

Un esempio rende il meccanismo più chiaro. La vittima crede di acquistare un prodotto da 80 euro sul falso negozio A. DoppelCart acquisisce i dati della carta; l’operatore li usa subito per tentare un pagamento sul sito B (proprio grazie al collegamento in tempo reale tramite WebSocket). La banca vede la richiesta del sito B e invia al cliente un OTP.

La vittima, però, è ancora sul sito A e pensa che quel codice serva a confermare il proprio acquisto da 80 euro. Lo inserisce nel modulo DoppelCart; il sito A lo trasmette agli aggressori, che possono usarlo per completare la transazione avviata sul sito B.

Non si tratta quindi di “rompere” 3-D Secure né di decifrare l’OTP. L’attaccante sfrutta la vittima come parte attiva del processo di autenticazione: provoca una richiesta reale alla banca e tenta di ottenere in tempo reale il fattore aggiuntivo necessario a completarla. È lo stesso principio che rende efficace una parte del phishing adversary-in-the-middle, anche se nel caso di DoppelCart non sembra essere al momento previsto un proxy completo della sessione 3-D Secure.

Perché il lucchetto HTTPS non dimostra che il negozio è affidabile

La cifratura TLS rimane indispensabile, ma l’utilizzo di un certificato digitale con HTTPS indica la protezione della comunicazione client-server e viceversa; non garantisce il server web remoto appartenga realmente al brand.

Un dominio creato appositamente per una truffa può ottenere senza difficoltà un normale certificato TLS. Il browser mostrerà quindi la connessione come cifrata e i dati arriveranno protetti al server. Peccato che, in questo caso, il destinatario sia proprio il criminale: HTTPS impedisce a un terzo di intercettare facilmente la comunicazione durante il tragitto, non certifica l’onestà di chi gestisce il sito.

La verifica deve quindi spostarsi sul nome di dominio. È bene confrontarlo con quello indicato sui profili ufficiali del produttore, evitare di fidarsi automaticamente dei risultati sponsorizzati o dei link ricevuti attraverso pubblicità e social network e controllare con particolare attenzione domini mai visti prima. Uno sconto eccezionale associato a un indirizzo estraneo al marchio dovrebbe far scattare immediatamente qualche verifica in più.

I controlli da svolgere sul nome di dominio sono tipicamente quelli che abbiamo illustrato presentando i 10 indizi nascosti che rivelano le email phishing.

DoppelCart racconta bene l’evoluzione delle frodi ecommerce: non serve inventare un negozio convincente da zero quando software automatizzato e contenuti copiati permettono di produrne migliaia. La quantità diventa parte dell’attacco: domini “usa e getta” che sfruttano pochi componenti condivisi, cataloghi fasulli (che sembrano veri!) che conducono a procedure di pagamento fraudolente congegnate sottrarre dati. Una pagina che sembra autentica non necessariamente è il vero sito del brand!