レストランの注文サイトを丸ごと複製、820ドメインのカード情報窃取網
Restaurant Delivery Payment-Skimming Campaign
InfoHawkの調査チームが2026年、35のレストランブランドを装う820のドメインを発見した。大半は「.delivery」を使ったタイポスクワットで、Jersey Mike'sやFirehouse Subs、Dave's Hot Chickenなどの注文画面を精巧に再現。正規サイトをリバースプロキシでそのまま表示しつつ、決済フォームだけを悪性のものに差し替え、カード番号に加えて銀行から届くSMS認証コードまで入力させようとする手口だ。正規サイトが侵害されたわけではない点が厄介で、利用者には見分けがほとんどつかない。
この場合、悪性の決済画面はクレジットカード情報に加え、銀行から送信されたSMS認証コードまで顧客に求めた。これはとりわけ危険な組み合わせだ。
HNでの議論
60- ModernTimes
Google Adsenseが自社システム上で詐欺広告を許可していなければ、こんなことは何も成立しない。でも彼らは許可している、毎日何百万件も(私は自分のウェブサイトで毎日これに対処しているが、Googleは気にしない)。
https://en.wikipedia.org/wiki/Racketeer_Influenced_and_Corru...
- BatchJob
これはおそらく、ウェブがほとんど保護もなしに簡単に許してしまうアンチパターンの中のアンチパターンだろう。これだけ時間がかかったのは少し驚きだ。おそらくvibe codingがその生成を後押ししたのだろう。
そろそろウェブをオフにする時かもしれない。悪くなる一方だろうから。
- jijji
私が言いたいのは、Jimmy JohnsはSubwayのひどくまずいバージョンだということだけだ。他の人も同じように感じているのは分かっている。Jersey Mike'sも実はかなりいい。
- mlmonkey
元のウェブサイトのオーナーは、ログを見てリクエストの大半がどこから来ているかを確認するだけではダメなのか?それにリファラーも決定的な手がかりになるはずだよね?誰かが時々`access.log`ファイルを見ていると仮定すればだけど。
- pixl97
うーん、これにはどうやって防御すればいいんだ?ウェブサイト全体を書き換えれば状況は少し難しくなる、ほぼすべてを制御できるからね。