Pokladna falešného e-shopu z DoppelCartu odesílá údaje z karty už při vyplňování

Německá bezpečnostní firma Nebty popsala shluk internetových obchodů, které kopírují skutečné prodejce, a pojmenovala ho DoppelCart. Podle rozboru, který 8. září 2026 zveřejnil server BleepingComputer, jde o víc než 119 tisíc domén. Server Malwarebytes o den později rozepsal, kolik z nich připadá na doménu nejvyšší úrovně .shop: 118 787 adres, tedy 2,72 % z toho, co tam Nebty prohledalo. Zbytek leží v jiných doménách nejvyšší úrovně, kolika a kterých, ani jeden ze zdrojů neuvádí.

Poslední průchod firmy našel přes 105 tisíc obchodů, které pořád běží. Napodobují 44 182 značek, medián jsou dvě kopie na značku. U některých je jich přes třicet, mezi nimi SodaStream, Daniel Wellington nebo Dreame. Obchody přebírají katalog, popisy, loga i fotky, a část snímků si někdy natahují rovnou ze serverů okopírované firmy. Slevy inzerují až do 65 %.

Pokladna odesílá každé políčko zvlášť

Zajímavá je ta poslední obrazovka. Nebty na několika pokladnách našlo kód, který sbírá číslo karty, platnost, bezpečnostní kód, jméno držitele, e-mailovou adresu, telefon a doručovací adresu. Neodesílá je až po potvrzení objednávky: každé pole putuje přes WebSocket na řídicí server v reálném čase.

To má praktický důsledek. Kód umí přeposlat i jednorázový potvrzovací kód, který pošle banka, takže útočník se jím podle Malwarebytes může pokusit potvrdit vlastní platbu, zatímco oběť ještě prochází pokladnou. Pojistka, která má stát na konci, tak může padnout ve stejné minutě jako číslo karty.

Část falešných obchodů navíc uvádí skutečnou zákaznickou adresu napodobené značky. Kdo nedostane zboží, píše tedy firmě, která s prodejem nemá nic společného. Provozovatele hostingu, na kterém většina těch webů běží, se Nebty pokusilo kontaktovat a odpovědi se nedočkalo.

Co je doloženo a co ne

Malwarebytes k tomu přidává výhradu, kterou stojí za to číst celou: nálezy stojí na společných znacích webů a infrastruktury, ne na důkazu, že každou z těch domén provozuje jedna a táž skupina. Nejsilnějším argumentem pro provázanost je údaj, který šéf Nebty Benedikt Scheungraber sdělil BleepingComputeru – 96 % potvrzených obchodů má shodné soubory sestavení a míří na 27 obchodních backendů.

Označení „největší zdokumentovaná síť falešných obchodů“ se tedy týká počtu domén, ne prokázaného vlastnictví. Kolik peněz DoppelCart vybral, zatím žádný ze zdrojů neuvádí.

Předchůdce z roku 2024 měl domény starší a obchodů míň

Dosavadní rekord držel BogusBazaar. Berlínská SRLabs ho popsala v srpnu 2024: přes 75 tisíc domén, z toho v dubnu téhož roku asi 22 500 živých, přes milion objednávek od roku 2021 a souhrnný objem přes 50 milionů dolarů. Obětí bylo podle firmy 850 tisíc, převážně ze západní Evropy a ze Spojených států.

Rozdíl mezi oběma sítěmi není jen ve velikosti. BogusBazaar si kupoval propadlé domény s dobrou historií u Googlu a stavěl na nich WooCommerce; typický server hostil kolem dvou set obchodů. DoppelCart čerpá téměř výhradně z jediné domény nejvyšší úrovně a obchody staví ze sdílené šablony.

Co s tím zvládne kupující

Rady, které k tomu Malwarebytes vypsal, jsou nudné a fungují: chodit do obchodu přes záložku nebo aplikaci, ne přes reklamu na sociální síti; hledat adresu obchodu spolu se slovem „recenze“; platit kartou nebo službou, kde jde platbu reklamovat, ne převodem ani kryptoměnou. A hlavně číst každý ověřovací dotaz banky: zkontrolovat v něm obchodníka a částku dřív, než platba odejde.

Českého kupujícího se to týká stejně jako německého; domény v .shop nemají geografické omezení. Česká obchodní inspekce k tomu vede seznam rizikových internetových obchodů, u kterých se podle ní špatně vymáhají spotřebitelská práva; zařazení na něj je podle úřadu doporučení spotřebitelům, ne zákaz prodávat. Je to výčet jednotlivých adres, takže obchod, který na něm chybí, tím není prověřený. Nalezenou kopii e-shopu jde nahlásit sdružení CZ.NIC přes Strážce internetu, doplněk do prohlížeče spuštěný začátkem září.

Zdroje

• BleepingComputer: DoppelCart fraud network uses 119,000 fake shops to steal credit cards (8. 9. 2026)
• Malwarebytes: More than 100,000 fake stores are out to steal your card details (9. 9. 2026)
• SRLabs: BogusBazaar, A criminal network of webshop fraudsters (5. 8. 2024)
• Česká obchodní inspekce: Rizikové internetové obchody