偽ウェブショップ集団が85万件のクレジットカード番号を盗む

ちょっとお話させてください。ジョンストン＆マーフィーの靴が好きなんです。この靴を何週間も探していたのですが、他の人も気に入っているようで、私が普段履いている靴のサイズが品切れ状態でした。そこで、Googleで検索して、他に在庫があるお店がないか探してみたんです。

なんと、ジョンストン＆マーフィーの別のサイトもあったんです。URLに「USA」と付いているだけで、ほぼ同じサイトです。見た目は前のサイトと似ていますが、その靴の全サイズが在庫されていて、いつでも購入できる状態でした。しかも定価の半額！なんてお買い得なんでしょう！きっと在庫過剰在庫のアウトレットなんでしょう。そこで靴をカートに入れて、レジに入ろうとしました。

でも、どういうわけか支払い方法がPayPalしかなかったんです。別に構いませんよ。PayPalはよく使っていますし、購入セキュリティプログラムも付いていますから。それでPayPalのインターフェースを操作してみたら…注文確定の最後のステップで「購入」ではなく「同意して申し込む」と表示されました。しかも、Johnston & Murphyではなく「Association Islamique Fulado」という人に支払いをするように言われました。この名前ではGoogleで検索しても有益な結果は出ませんでした。住所はルクセンブルクのどこかにあるので、同じ人物か組織だと仮定しても、全く意味が分かりません。

マイケル・クライダー/ファウンドリー

そのボタン、見たことあります。Patreonみたいに、慈善団体やクリエイターに定期的に支払いをしたい時に使います。一回限りの支払いオプションなのに、なぜ「購読」する必要があるんですか？

正直に言うと、URLを見た瞬間から警戒していましたが、その時点で私はアーカム・アサイラムの探偵モードに突入しました。まずは、Whois検索でその怪しいURLを調べることにしました。Johnston & Murphyのメインドメインは30年近く登録されており、民間のレジストラを経由していますが、そのレジストラは米国フロリダ州に拠点を置いています。もし米国の裁判官がJohnston & Murphyに召喚状を発行した場合、追跡すべき人物がいるはずです。

同じ検索を「USA」の代替サイトで試してみました。こちらは靴の在庫があり、PayPalで購入できる状態でした。このサイトは今年1月に中国企業に登録されており、プライベートレジストラにはGmailアドレスが使われていました。

さて、この話を公に投稿しているので、このサイトを詐欺だと断言するつもりはありません。しかし、アメリカ企業のJohnston & Murphyドメインが中国のレジストラを利用する正当な理由が思い当たりません。それに、PayPalのシステムで支払い方法が「購読」しかできないのも理解できません。特に、認証済みのサイトではクレジットカードでしか支払えないのに。結局、靴が届くまで待つことにしました。

偽の小売店は非常に一般的で、私が検索したようにGoogle検索で上位に表示されることさえあります。Googleショッピングの検索結果で、大幅に値引きされたカヤックを販売する、似たような、そして同様に怪しいサイトをたくさん見かけました。それらも同様に新しい店舗で、デザインは他の店舗のレイアウトを真似ているか、完全に盗用しているようで、価格と在庫状況は信じられないほど良心的でした。

ドイツの企業Security Research Labs（BleepingComputerが発見）による最近の報告書では、数万のドメインを運営する偽の小売サイトグループの存在が明らかになりました。「BogusBazaar」と呼ばれるグループは85万件の注文を受けており、そのほとんどは米国とドイツからの注文で、残りの「売上」はカナダと西ヨーロッパに流れていました。これらのショップは、PayPal、Stripe、その他の手段で情報を受け取るためのeコマースプラグインを含む、自動化されたWordPressツールを使って簡単に開設・複製されています。

一体何が目的なのでしょうか？彼らはただお金を請求して逃げようとするわけではありません。銀行、クレジットカード会社、その他の決済処理業者が詐欺に厳重な警戒を敷いている今、それは見た目以上に難しいことです。彼らは個人情報、特に住所やクレジットカード番号を収集しています。これらの情報をすべて集めれば、なりすましの格好の糸口となります。

SRLabsによると、BogusBazaarシステムは少人数の開発チームによって運営されており、彼らは主に中国を拠点とする「フランチャイズ」システムで他の詐欺師にサービスを販売している。詐欺師たちはトラフィックを集めるために、検索結果が良好な、最近放棄されたドメイン名を探している。これは「控えめ」で「拡張性が高い」手法であり、情報窃取によって安定した収入をもたらしている。ある一群の店舗が発見され、検索エンジンから削除されても、彼らは新しい一群をコピー＆ペーストし、同じ手法を繰り返してより多くのデータを収集する。

覚えておいてください、オンラインショッピングでも実際の生活でも、良すぎる話に思える場合は、おそらくそうでしょう。

著者: Michael Crider、PCWorld スタッフライター

マイケルはテクノロジージャーナリズムのベテランとして10年のキャリアを持ち、AppleからZTEまであらゆるテクノロジーをカバーしています。PCWorldではキーボードマニアとして活躍し、常に新しいキーボードをレビューに使用し、仕事以外では新しいメカニカルキーボードを組み立てたり、デスクトップの「バトルステーション」を拡張したりしています。これまでにAndroid Police、Digital Trends、Wired、Lifehacker、How-To Geekなどで記事を執筆し、CESやMobile World Congressなどのイベントをライブで取材してきました。ペンシルベニア州在住のマイケルは、次のカヤック旅行を心待ちにしています。