DoppelCart sklonował tysiące marek. 119 tys. fałszywych sklepów przejmuje dane kart i klientów

10 września 2026 r.

Niemiecka firma zajmująca się cyberbezpieczeństwem i ochroną marek wykryła sieć około 119 tys. domen powiązanych z fałszywymi sklepami internetowymi. Operatorzy kopiują katalogi produktów, opisy, zdjęcia i dane kontaktowe prawdziwych przedsiębiorstw, a następnie wykorzystują wiarygodny wygląd stron do przechwytywania danych klientów. Nebty nazwało badany klaster DoppelCart i udostępniło publiczną bazę pozwalającą sprawdzić nazwę marki lub domenę.

Skala wymaga precyzyjnego opisania. Eksport z 5 września 2026 r. zawierał 119 012 wpisów zakwalifikowanych jako potwierdzone elementy klastra. Po połączeniu adresów z „www” i bez „www” pozostało 118 996 unikalnych domen. Wśród nich 118 787 działało w domenie najwyższego poziomu .shop, co odpowiadało 2,72 proc. analizowanego przez Nebty zbioru 4 361 908 takich domen.

„Potwierdzony” nie oznacza jednak, że każda strona została ręcznie sprawdzona ani że wszystkie domeny były aktywne w tej samej chwili. Oznacza przypisanie do klastra na podstawie wspólnych elementów infrastruktury i oprogramowania. Nebty zastrzega również, że podobieństwo techniczne nie dowodzi, iż wszystkimi domenami kieruje jedna osoba lub jedna organizacja.

Dla legalnego sklepu problem nie kończy się na skopiowaniu zdjęcia. Fałszywe strony potrafią podawać prawdziwy adres obsługi klienta. Osoba, która nie otrzyma zamówionego towaru, kontaktuje się wtedy z firmą, której nazwę widziała podczas zakupu. Legalny sprzedawca musi wyjaśnić, że nie przyjął zamówienia ani płatności, choć z perspektywy klienta wszystkie elementy wskazywały na tę właśnie markę.

Jak działa DoppelCart

Fałszywy sklep nie musi już wyglądać jak przypadkowa strona z błędami językowymi. Kopiowanie pełnego katalogu pozwala przestępcom wykorzystać pracę wykonaną przez prawdziwego sprzedawcę: profesjonalne zdjęcia, opisy właściwości, warianty, materiały oraz spójność wizualną. Niektóre witryny pobierają obrazy bezpośrednio z infrastruktury prawdziwego sklepu, przez co klient widzi aktualne i wysokiej jakości materiały.

Według weryfikacji BleepingComputer około 96 proc. potwierdzonych stron wykorzystywało identyczne pliki kompilacji, a domeny prowadziły do 27 zapleczy obsługujących handel. Serwis podał także, powołując się na najnowsze skany Nebty, że ponad 105 tys. stron pozostawało aktywnych. Te dane pochodzą od firmy prowadzącej dochodzenie, dlatego nie należy traktować ich jak niezależnego spisu wszystkich oszustw internetowych.

Klienta przyciąga zwykle bardzo duży rabat. W przykładach opisanych przez badaczy wykorzystywano obniżki sięgające około 65 proc. Po przejściu do płatności użytkownik podaje dane karty, adres i dane kontaktowe. Zamiast finalizacji legalnego zamówienia informacje mogą zostać przesłane do infrastruktury przestępczej.

To odróżnia DoppelCart od zwykłego przypadku naruszenia praw autorskich do zdjęcia produktu. Kopia treści jest tu elementem procesu oszustwa. Marka staje się źródłem wiarygodności, klient traci pieniądze lub dane płatnicze, a prawdziwy sklep otrzymuje skargi i negatywne komentarze dotyczące transakcji, której nigdy nie obsługiwał.

Dlaczego polska marka może nie zauważyć ataku

Fałszywa strona może działać pod domeną niezawierającą nazwy legalnego sklepu. Przestępcy mogą skopiować tylko fragment asortymentu albo nazwę konkretnej marki własnej. Właściciel przedsiębiorstwa nie zobaczy więc problemu podczas zwykłego wyszukania swojej głównej domeny.

Pierwszym sygnałem bywają pytania o przesyłkę, której nie ma w systemie zarządzania zamówieniami. Kolejne to prośby o zwrot płatności wykonanej na rzecz nieznanego odbiorcy, wiadomości z potwierdzeniem zamówienia w obcym formacie, skargi w mediach społecznościowych albo nagły wzrost pobierania obrazów z serwera sklepu.

Przykładowo polski producent wyposażenia domu może otrzymać wiadomość od klienta z Niemiec, który kupił stół z rabatem 65 proc. Potwierdzenie zawiera logo producenta i jego adres obsługi, ale numer zamówienia nie istnieje w systemie firmy. Konsultant nie powinien ograniczać się do odpowiedzi, że klient pomylił sklep. Powinien zebrać adres domeny, zrzuty ekranu, potwierdzenie płatności i treść wiadomości, a następnie przekazać sprawę osobie odpowiedzialnej za bezpieczeństwo marki.

Drugi scenariusz dotyczy sklepu, którego zdjęcia są ładowane bezpośrednio z legalnej domeny. Zablokowanie takiego transferu może ograniczyć wiarygodność kopii, ale nie rozwiąże całego problemu. Przestępcy mogą pobrać pliki i przechowywać je na własnym serwerze. Blokada techniczna powinna więc towarzyszyć zgłoszeniom domeny, hostingu, systemu reklamowego i dostawców płatności.

Co powinien zrobić sklep lub producent

• Sprawdzić nazwę marki, domenę oraz najważniejsze linie produktowe w bazie opublikowanej przez Nebty.
• Monitorować nowe domeny, wyniki wyszukiwania, reklamy i media społecznościowe pod kątem ofert podszywających się pod firmę.
• Utworzyć w obsłudze klienta osobną kategorię zgłoszeń dla zamówień, których nie ma w systemie.
• Zabezpieczać adres domeny, pełne zrzuty strony, kod strony, datę, potwierdzenie płatności i korespondencję przed rozpoczęciem procedury usunięcia.
• Zgłaszać konkretne naruszenia dostawcy hostingu, rejestratorowi domeny, operatorowi płatności, platformie reklamowej oraz właściwym organom.
• Na stronie legalnego sklepu opublikować jasną listę oficjalnych domen i kanałów sprzedaży, jeżeli marka jest aktywnie kopiowana.

Nie należy automatycznie ogłaszać każdej podobnej strony częścią jednej zorganizowanej grupy. Sama obecność w publicznej bazie jest punktem wyjścia do weryfikacji. Nebty zaznacza, że dane mogą być aktualizowane i korygowane. Przed skierowaniem formalnego żądania trzeba sprawdzić aktualny stan strony oraz zachować dowody pozwalające wykazać, jakie treści zostały przejęte.

Procedura usuwania powinna uwzględniać kilka warstw. Rejestrator odpowiada za rejestrację nazwy domeny, hostingodawca utrzymuje treść, dostawca infrastruktury pośredniczącej może chronić adres serwera, a reklamy mogą być prowadzone przez jeszcze inną platformę. Usunięcie pojedynczego elementu nie zawsze wyłącza witrynę, dlatego zgłoszenia muszą być skoordynowane.

Obsługa poszkodowanych klientów jest częścią ochrony marki

Konsultant powinien spokojnie wyjaśnić, że płatność nie trafiła do legalnego sprzedawcy, wskazać oficjalną domenę i zalecić szybki kontakt z bankiem lub wystawcą karty. W przypadku ujawnienia danych karty klient może potrzebować jej zastrzeżenia. Podejrzenie oszustwa powinno też zostać zgłoszone policji.

Firma nie może obiecywać zwrotu środków, których nie otrzymała, ale powinna unikać tonu przerzucającego winę na klienta. Oszustwo działa właśnie dlatego, że strona wykorzystuje prawdziwe, profesjonalne materiały. Krótki formularz do przesłania domeny, potwierdzenia zamówienia i zrzutów ekranu ograniczy czas rozmowy oraz pomoże łączyć kolejne zgłoszenia.

Warto także przygotować gotowy komunikat dla mediów społecznościowych i pracowników. Powinien zawierać oficjalny adres sklepu, informację o sposobie rozpoznawania prawidłowego odbiorcy płatności i kanał zgłaszania podejrzanych witryn. Publikację ostrzeżenia należy rozważyć wtedy, gdy firma potwierdzi aktywną kampanię i może wskazać klientom konkretne zasady bezpieczeństwa.

DoppelCart pokazuje, że ochrona marki w e-commerce nie ogranicza się już do rejestracji znaku towarowego i usuwania pojedynczych aukcji. Katalog produktowy, zdjęcia, adres wsparcia i reputacja sklepu są aktywami, które mogą zostać użyte do zbudowania kompletnego oszustwa. Monitoring powinien więc łączyć pracę zespołu prawnego, bezpieczeństwa, marketingu i obsługi klienta.