Vytvoriť presvedčivú kópiu existujúceho e-shopu je dnes jednoduchšie než pred pár rokmi. Útočník si môže automatizovane stiahnuť verejne dostupný obsah webu a pomocou AI coding nástrojov nechať vygenerovať frontend podľa existujúcej stránky - vrátane jej layoutu, komponentov či responzívneho správania. To, čo by kedysi vyžadovalo hodiny manuálneho kódovania, sa dnes dá výrazne urýchliť.
Logo, produktové fotografie, texty, dizajn, navigácia aj celý nákupný proces tak môžu na prvý pohľad pôsobiť ako originál. Rozdiel si zákazník niekedy všimne až v doméne.
Takáto kópia pritom nemusí slúžiť iba na zneužitie značky. Falošný e-shop môže zákazníka doviesť až k checkoutu a pokúsiť sa od neho získať osobné, prihlasovacie alebo platobné údaje. Práve získavanie citlivých údajov prostredníctvom stránky, ktorá sa vydáva za dôveryhodnú službu či spoločnosť, patrí medzi princípy phishingu.
Čo robiť, ak takúto kópiu svojho webu objavíte? Podľa Radoslava Kuchára, Head of Development v ui42, je pri podobnom incidente dôležité postupovať systematicky a riešiť viacero miest súčasne.
Najskôr si overte, či bol váš web skutočne napadnutý
Existencia phishingovej kópie ešte automaticky neznamená, že sa útočník dostal do vášho e-shopu.
To je dôležitý rozdiel.
Váš originálny web môže byť úplne v poriadku. Útočník mohol iba skopírovať verejne dostupný obsah a spustiť ho na vlastnej doméne a infraštruktúre.
Preto si ako prvé overte, či ide iba o impersonáciu - napodobnenie vášho webu – alebo o skutočnú kompromitáciu vašich systémov.
Developer by mal skontrolovať najmä prístupy do administrácie a hostingu, neznáme používateľské účty, posledné zmeny a deploye, DNS záznamy, API kľúče a ďalšie credentials či podozrivú aktivitu v logoch.
Ak nájdete známky neoprávneného prístupu, riešite zároveň bezpečnostný incident vo vlastnej infraštruktúre.
Ak je originálny e-shop čistý, ďalším cieľom je dostať jeho podvodnú kópiu offline a minimalizovať počet zákazníkov, ktorí sa k nej dostanú.
1. Zbierajte dôkazy, až potom nahlasujte
Pri objavení phishingového webu budete prirodzene chcieť, aby čo najrýchlejšie zmizol.
Pred prvým abuse reportom si ho však poriadne zdokumentujte.
Web môže byť po nahlásení odstránený, zmenený alebo presunutý na inú infraštruktúru. Dôkazy pritom budete potrebovať pri komunikácii s hostingom, registrátorom domény, platobnou spoločnosťou aj políciou.
Uložte si screenshoty falošného webu, konkrétne URL adresy, produktové stránky, checkout a zobrazené platobné možnosti. Zaznamenajte si tiež doménu, dostupné WHOIS/RDAP a DNS údaje, IP adresy a čas, kedy ste jednotlivé informácie získali.
Nescreenshotujte iba homepage. Zdokumentujte konkrétne miesta, na ktorých je viditeľné zneužitie vašej identity - logo, produkty, fotografie, kontaktné údaje alebo checkout. Provider tak dokáže jednoduchšie porovnať phishingový web s originálom.
Radoslav Kuchár, Head of Development.
2. Zistite, kde je phishing web hostovaný
Ďalším krokom je identifikovať infraštruktúru, na ktorej falošný web beží.
Na prvotnú kontrolu môžete použiť napríklad HostingChecker, DNS lookup alebo IP/ASN lookup nástroje. Cieľom je zistiť, ktorý poskytovateľ má technickú možnosť škodlivý obsah odstrániť.
Pozor však na služby typu Cloudflare. Doména môže používať reverse proxy alebo CDN a IP adresa, ktorú nájdete v DNS, preto nemusí patriť skutočnému origin serveru. Samotný lookup teda ešte nemusí znamenať, že ste našli hosting.
3. Pošlite poskytovateľovi hostingu Abuse Report
Z našej skúsenosti ide o jeden z najdôležitejších krokov celého procesu. Hostingové spoločnosti majú vlastné abuse formuláre alebo e-mailové adresy určené na nahlasovanie phishingu, malvéru a ďalšieho zneužívania svojej infraštruktúry.
Abuse formuláre majú napríklad Contabo, Hetzner či Cloudflare.
V reporte neposielajte iba informáciu, že vám niekto „skopíroval web“. Provider potrebuje vedieť, čo presne sa deje a kde to môže overiť. Uveďte preto podvodnú doménu a konkrétne URL, adresu originálneho e-shopu, vysvetlenie zneužitia vašej značky a informáciu, či stránka získava osobné alebo platobné údaje. Priložte aj dôkazy. Čím jednoduchšie bude incident overiteľný, tým väčšiu šancu máte na rýchlu reakciu.
Z našej skúsenosti môže práve tento krok viesť k vypnutiu phishingovej stránky približne do 24 hodín. Nejde však o garantovanú lehotu - reakčný čas závisí od konkrétneho providera a prípadu.
Vzor Abuse Reportu pre phishing web
Report odporúčame posielať v angličtine, najmä ak ide o zahraničného poskytovateľa:
Subject: Phishing / fraudulent website impersonating our e-commerce store
Hello,
I would like to report a phishing website hosted on or associated with your infrastructure.
Fraudulent website: [URL]
Legitimate website: [URL]
The reported website is impersonating our legitimate e-commerce store. It copies our branding, design, product content and other elements in a way that may mislead customers into believing they are using our official website.
The website appears to be used for fraudulent/phishing purposes and may collect customers' personal and/or payment information.
Examples of fraudulent URLs:
[URL 1]
[URL 2]
[URL 3]
Evidence attached:
– screenshots of the fraudulent website
– screenshots of our legitimate website for comparison
– screenshots of the checkout/payment process
– additional technical information, if available
We kindly ask you to investigate this website and take appropriate action to stop the abuse.
Please let us know if you require any additional information or evidence.
Kind regards,
[Name]
[Company]
[Official domain]
[Contact email]
Túto šablónu môžete použiť ako základ. Vždy ju však prispôsobte konkrétnemu prípadu a požiadavkám daného providera.
4. Zistite registrátora podvodnej domény
Hosting a doména nie sú to isté.
Hosting zabezpečuje infraštruktúru, na ktorej beží obsah. Registrar (registrátor) spravuje registráciu konkrétnej domény. Nad ním sa ešte nachádza registry operátor, ktorý spravuje konkrétnu doménovú koncovku – TLD.
Napríklad .sk, .com či .live majú rôznych registry operátorov.
Preto odporúčame riešiť hosting aj doménu paralelne.
Pomocou WHOIS/RDAP zistite registrátora podvodnej domény a vyhľadajte jeho abuse kontakt alebo formulár. Pošlite mu rovnaké dôkazy, ktoré ste pripravili pre hosting.
Pri .sk doménach je registry operátorom SK-NIC. SK-NIC pri podozrení, že sa doména používa na nezákonnú alebo podvodnú činnosť, odporúča vec oznámiť orgánom činným v trestnom konaní a uvádza, že môže konať na základe rozhodnutia príslušnej autority.
Pri iných TLD môže byť postup odlišný, preto si vždy overte pravidlá konkrétneho registry operátora.
5. Nahláste phishing Googlu a Microsoftu
Kým hosting alebo registrátor rieši váš report, môžete obmedziť pravdepodobnosť, že sa zákazník na podvodnú stránku dostane bez varovania.
Phishingovú URL preto nahláste do:
Google Safe Browsing: google.com/safebrowsing/report_phish/
Microsoft Security Intelligence / SmartScreen: microsoft.com/en-us/wdsi/support/report-unsafe-site-guest
Tento krok samotnú stránku z internetu neodstráni. Jeho cieľom je dostať phishingovú URL do bezpečnostných systémov, ktoré môžu používateľov pred nebezpečnou stránkou varovať.
6. Zistite, kam smerujú platby
Ak podvodný e-shop obsahuje funkčný checkout, skúste identifikovať poskytovateľa platobnej infraštruktúry.
Niekedy je poskytovateľ viditeľný priamo. Inokedy používateľ vidí iba možnosť zaplatiť kartou, Apple Pay či Google Pay a nie je jasné, kto platbu v pozadí spracúva. Vtedy si developer môže otvoriť Developer Tools → Network a sledovať requesty, ktoré stránka odosiela počas checkoutu. Z domén a API endpointov sa často dá zistiť, s akou službou stránka komunikuje.
Ak payment providera identifikujete, odošlite mu fraud alebo abuse report s dôkazmi.
Dôležité: Na podvodnom webe nevykonávajte reálnu testovaciu platbu a nezadávajte svoje skutočné prihlasovacie ani platobné údaje.
7. Nahláste incident polícii
Ak phishingový web zneužíva identitu vašej spoločnosti, získava údaje zákazníkov alebo od nich prijíma peniaze, incident nahláste polícii.
Práve tu sa vrátite k prvému kroku.
Screenshoty, URL adresy, údaje o doméne, informácie o hostingu, platobnej infraštruktúre a vaša komunikácia s providermi vytvárajú oveľa použiteľnejší podklad než samotné tvrdenie, že na internete existuje kópia vášho e-shopu.
Pri .sk doméne je tento krok relevantný aj vzhľadom na postup SK-NIC.
8. Informujte svojich zákazníkov skôr, než phishing web zmizne
Na výsledok abuse reportov nečakajte s komunikáciou.
Ak sa podvodný web aktívne šíri, zverejnite upozornenie na oficiálnom webe a sociálnych sieťach.
Jasne pomenujte falošnú doménu a uveďte jedinú oficiálnu doménu vášho e-shopu.
Zákazníkom zároveň vysvetlite, čo majú urobiť, ak na phishingovej stránke už zadali svoje údaje.
Ak zadali heslo, mali by ho okamžite zmeniť. Ak rovnaké heslo používajú aj v iných službách, je potrebné zmeniť ho aj tam. Ak zadali platobné údaje alebo uskutočnili platbu, mali by bezodkladne kontaktovať svoju banku alebo vydavateľa karty.
Dá sa skopírovaniu e-shopu zabrániť?
Úplne nie. A práve toto je dôležité pochopiť.
Obsah, ktorý musí server poslať zákazníkovmu prehliadaču, je do určitej miery dostupný aj automatizovaným nástrojom. Obrázky, texty, HTML či informácie o produktoch preto nemožno jednoducho „zamknúť“ tak, aby ich zákazník videl, ale sofistikovaný scraper nie.
AI a moderné vývojárske nástroje navyše znižujú množstvo času a technických znalostí potrebných na vytvorenie vizuálne presvedčivej napodobeniny.
Prevencia by preto nemala byť postavená iba na snahe zabrániť kopírovaniu, ale predovšetkým na schopnosti kópiu rýchlo odhaliť a reagovať na ňu.
Pomôcť môže monitoring domén podobných názvu vašej značky, sledovanie nových certifikátov pre podobné domény, monitoring neštandardného bot trafficu a agresívneho scrapingu, ochrana administrácie pomocou MFA, bezpečná správa API kľúčov a credentials či monitoring DNS zmien.
A hlavne: firma by mala vedieť, kto a čo urobí vo chvíli, keď sa phishingová kópia objaví.
Čo teda urobiť, keď niekto skopíruje váš e-shop?
Pri phishingovom webe rozhoduje čas. Nespoliehajte sa preto iba na jeden abuse report.
Postupujte paralelne:
- Zdokumentujte phishingový web.
2. Overte, či nebol kompromitovaný aj váš systém.
3. Identifikujte hosting a pošlite Abuse Report.
4. Identifikujte registrátora domény a nahláste zneužitie.
5. Nahláste URL Googlu a Microsoftu.
6. Identifikujte a kontaktujte poskytovateľa platby.
7. Nahláste prípad polícii.
8. Informujte zákazníkov.
Jednotlivé kroky riešia inú časť problému. Hosting môže odstaviť obsah. Registrátor rieši zneužitie domény. Bezpečnostné systémy Googlu a Microsoftu môžu používateľov pred phishingovou stránkou varovať. Payment provider môže zasiahnuť proti platobnej infraštruktúre.
A komunikácia so zákazníkmi znižuje riziko, že dôveryhodnosť, ktorú ste roky budovali pre vlastnú značku, využije niekto iný proti vám.
