Уязвимость в поиске: как сотни фейковых сайтов доставки еды оказались в топе рекламы Google

Специалисты по кибербезопасности из компании InfoHawk раскрыли крупную мошенническую кампанию «Scamwich». В ходе исследования было обнаружено 820 поддельных доменов, детально копировавших сайты популярных американских ресторанов

(Chipotle, Jersey Mike's, Jimmy John's и других).

Выяснилось, что из-за особенностей модерации рекламных объявлений ссылки на эти ресурсы долгое время беспрепятственно выводились на самых верхних строчках поисковой выдачи Google Ads прямо перед официальными сайтами брендов. 🔍 Краткое описание ситуации Мошенники массово скупали контекстную рекламу в поисковике под видом официальных сервисов заказа еды.

Пользователи, доверяя верхним строчкам выдачи, кликали по рекламным ссылкам и оформляли заказы на идентичных внешне сайтах. Однако вместо покупки обеда клиенты передавали данные своих банковских карт и СМС-коды подтверждения в руки злоумышленников, которые списывали деньги в реальном времени. 🛠 Подробное техническое описание (Как устроен процесс) Вместо создания простых визуальных копий сайтов организаторы кампании использовали сложную технологию «обратного прокси» (Reverse Proxy):

1. Прямая трансляция: Мошеннический сервер на лету транслировал контент с настоящего сайта ресторана. Актуальное меню, цены, адреса точек и корзина подгружались в реальном времени, из-за чего у пользователя не возникало никаких подозрений.

2. Адреса-двойники: Злоумышленники зарегистрировали сотни доменов с опечатками в названии брендов в специальной зоне .delivery (например, jummysandwitch[.]delivery). Больше всего адресов — 404 штуки — создали для имитации сети Jimmy John's.

3. Обход защиты банка: Вредоносный скрипт подменял исключительно финальную форму оплаты. Когда жертва вводила данные карты, мошенники мгновенно использовали их для покупки на стороннем сервисе. Сайт выводил окно для ввода защитного СМС-кода (3-D Secure), пользователь вписывал пароль из сообщения, и злоумышленники одобряли свою трансляцию. Еда при этом клиенту не заказывалась. ⚙ Как рекламная система пропустила мошенников Анализ архивов выявил системные пробелы в автоматических фильтрах проверки рекламы:

• Использование подставных лиц:

Исследователи зафиксировали как минимум 47 текстовых объявлений, которые вели на вредоносные домены.

Все они были куплены через 46 разных рекламодателей. В качестве владельцев аккаунтов указывались совершенно случайные компании, не имеющие отношения к общепиту: небольшие строительные фирмы, приют для рептилий или часовой магазин. Система автоматической проверки пропустила их, так как формально аккаунты выглядели легитимными.

• Сложность оперативного реагирования: Роботизированные алгоритмы модерации ориентируются на формальные признаки качества объявлений. Поскольку мошенники платили за продвижение стандартные коммерческие тарифы, система автоматически продвигала их ссылки в топ.

Это привело к ситуации, когда вредоносные ссылки временно вытесняли из топа оригинальные сайты.

• Удаление без фиксации истории: После получения отчетов безопасности объявления были оперативно заблокированы и удалены из выдачи. Однако в официальном Центре прозрачности рекламы (Ads Transparency Center) эти креативы теперь просто отображаются со статусом «Не найдено».

Платформа полностью стерла историю этих размещений, из-за чего независимые исследователи больше не могут отследить, как долго крутилась реклама и сколько пользователей успело по ней перейти.

На момент публикации отчета, несмотря на блокировку рекламных кампаний в поиске, 367 из 820 доменов все еще оставались активными в сети и продолжали работать, рассчитывая на переходы из других источников.