FRITZ! 和 Dreame：11.9 万家虚假网店在结账时盗取您的信用卡信息

搜索扫地机器人或新款 FRITZ!Box 时，可能会误入此类页面。总部位于慕尼黑的安全公司 nebty 已记录了一个由 119,012 个经确认的网店域名组成的网络。该完整数据库现已公开。这些网页盗用了真实零售商的产品照片、描述以及整体界面风格。 在某些情况下，它们甚至直接从被仿冒公司的图片服务器加载图片。仅在 .shop 后缀下，nebty 就统计到 118,787 个此类网址。这占其调查的 4,361,908 个 .shop 域名的 2.72%。 此前公开记录中规模最大的类似网络是 BogusBazaar，其在 2024 年拥有约 75,000 个域名。

德国消费者在此并非例外。该数据库列出了 12 家以 FRITZ! 为品牌名的网店。 其中包括 avmonline.shop、fritzstore.shop 和 fritzdirect.shop。截至 9 月 13 日我们核查时，这 12 家均被归类为“可能处于运营状态”。扫地机器人制造商 Dreame 占据了 72 个条目。今年早些时候，我们曾评测过其 L10s Ultra Gen 3 扫地机器人。 部分网店的页面标题显示为“DREAME Stores Deutschland”。还有些则伪装成意大利、法国、西班牙和比利时的国家分店。EcoFlow、Bluetti、Roborock、Narwal、Jackery、Keychron、HyperX和森海塞尔也出现在记录中。

客服地址属于真正的制造商

买家通常会核查的一个细节，却无法将这些店铺与正规店铺区分开来。其中许多店铺提供的客服地址正是它们所仿冒的品牌地址。例如，dreametechpro.shop 提供的联系方式是 [email protected]，这是一个位于真实制造商自有域名下的地址。 一位订单始终未送达的买家向一家从未收到该订单的公司投诉。该公司的客服人员随后不得不解释款项和商品的去向。nebty在记录中统计到 2,494 个此类被曝光的联系地址。

上周 Trezor 也出现了同样的模式，当时钓鱼邮件正是从制造商自己的发件地址发出的。那些本应证明店铺真实性的标识也被复制了。 虚假网店还增加了第二层伪装。有些页面使用虚构的地址，例如 [email protected]，乍看之下同样可信。

在您点击“购买”之前，结账页面就已获取您的信用卡信息

支付环节正是造成损失的关键所在。nebty对该网络中的多个结账页面进行了测试，发现其中存在一段代码，会收集信用卡号、有效期、安全码、姓名、电子邮箱地址、电话号码及邮寄地址。 该公司与 BleepingComputer 共享的报告指出，这些字段会通过 WebSocket 连接逐一传输至攻击者的服务器。数据在输入的瞬间即被发送，甚至无需提交表单。

同一份报告还指出，该代码还能转发银行为批准支付而发送的一次性验证码。 该批准机制可防止他人将您被盗的卡片数据用于其他地方的交易，但无法防止您向诈骗者确认支付。当您亲自批准交易时，实际上就是在向诈骗者确认支付。nebty的公开博客文章中并未提及这一发现，该信息源自提交给该行业媒体的报告。

如何识别仿冒网站

单个线索本身并不能证明什么，但多个线索结合起来则能说明问题。这些网店宣传正品最高可享 65% 的折扣。其网址遵循一种明显的模式：品牌名称加上“store”、“direct”、“global”或“hub”等填充词。 域名后缀几乎总是 .shop。nebty 首席执行官 Benedikt Scheungraber 表示，96% 的已确认页面共享相同的构建文件，并解析至 27 个共同的电商后端。正是这种统一性，使得该群组最初得以被发现。 您可以在公开数据库中查询网址。更可靠的途径是访问制造商的官方网站及其授权经销商列表。

该网络仍在运行。截至调查时，仍有超过10.5万家网店可访问。nebty表示，他们已联系了大多数页面背后的托管服务商，但未获回应。代表受影响品牌进行的定向下架确实有效。根据nebty的观察，通过这种方式被移除的网店一直处于离线状态。