Imagine encontrar na internet o produto que você queria comprar.
A loja parece profissional.
A marca é conhecida.
As fotografias são reais.
A descrição do produto está correta.
O desconto é irresistível.
Você coloca o item no carrinho, informa o endereço e digita os dados do cartão.
Então aparece uma solicitação para confirmar a compra com o código enviado pelo banco.
Tudo parece normal.
Só existe um problema:
a loja inteira é falsa.
Uma investigação publicada por pesquisadores da empresa alemã de cibersegurança Nebty revelou uma gigantesca infraestrutura de sites fraudulentos batizada de:
DoppelCart.
O levantamento relacionou aproximadamente 119 mil domínios a um mesmo conjunto de características técnicas utilizado para criar cópias de lojas legítimas.
Segundo os pesquisadores, trata-se do maior cluster de lojas falsas já documentado publicamente em quantidade de domínios.
E a escala chama atenção.
Mais de:
105 mil lojas associadas ao esquema ainda estavam ativas durante os levantamentos recentes.
Quase 119 mil domínios — mas existe uma precisão importante
A base publicada pela Nebty possuía:
119.012 registros de domínios classificados como pertencentes ao cluster.
Depois de combinar versões com e sem www, os pesquisadores chegaram a:
118.996 domínios distintos.
Dentro do domínio de topo .shop, foram identificados:
118.787 domínios.
Por isso, o número vem sendo arredondado para:
119 mil lojas falsas.
Mas existe um detalhe fundamental:
o levantamento identifica domínios associados à infraestrutura, não 119 mil vítimas nem necessariamente 119 mil lojas simultaneamente online.
Uma em cada 37 páginas .shop analisadas fazia parte do cluster
Talvez esse seja um dos números mais impressionantes.
Os 118.787 domínios .shop associados à DoppelCart representavam aproximadamente:
2,72% de toda a população de domínios .shop presente no levantamento da Nebty.
Em termos aproximados:
um em cada 37 domínios .shop daquele conjunto analisado.
Isso não significa que 2,72% de toda a internet seja fraudulenta.
O indicador é específico ao universo .shop analisado pelos pesquisadores.
Ainda assim, demonstra a dimensão extraordinária da infraestrutura.
DoppelCart clonou mais de 44 mil marcas
Os pesquisadores identificaram aproximadamente:
44.182 marcas diferentes
sendo imitadas pelas lojas.
Em média, muitas possuíam poucas cópias.
A mediana observada foi de:
duas lojas falsas por marca.
Mas determinados nomes receberam atenção muito maior dos criminosos.
Algumas marcas possuíam:
mais de 30 cópias diferentes.
Entre os exemplos identificados aparecem empresas como:
SodaStream;
Daniel Wellington;
CurrentBody;
Dreame;
Velasca;
Horze;
MOVA;
SPARK PAWS.
Os criminosos não criavam produtos falsos do zero
Uma das razões pelas quais as páginas podem parecer tão convincentes é simples:
elas copiam as lojas verdadeiras.
Catálogos completos podem ser reproduzidos.
Descrições são copiadas.
Fotografias são reaproveitadas.
Logos são clonados.
Elementos da identidade visual são reproduzidos.
Em alguns casos, as páginas falsas chegavam a carregar determinadas imagens:
diretamente dos servidores da empresa verdadeira.
Isso significa que até a fotografia apresentada pela fraude pode ser absolutamente legítima.
O site:
não.
É o comércio eletrônico transformado em phishing
Normalmente associamos phishing a uma página falsa de:
banco;
e-mail;
Microsoft;
Google;
Gov.br.
A DoppelCart aplica exatamente a mesma lógica ao:
e-commerce.
Em vez de convencer a vítima a entrar em uma falsa página bancária, o atacante cria uma experiência completa de compra.
Existe:
produto;
preço;
carrinho;
checkout;
endereço;
pagamento.
O site foi projetado para permitir que a vítima avance até o momento mais importante:
digitar os dados financeiros.
O checkout é o verdadeiro objetivo
Análises técnicas realizadas em páginas pertencentes ao cluster encontraram código capaz de coletar:
número do cartão;
data de validade;
código de segurança CVV;
nome do titular;
e-mail;
telefone;
endereço residencial.
Esses dados são extremamente valiosos para criminosos financeiros.
Mas a infraestrutura vai além.
DoppelCart pode roubar até o código enviado pelo banco
Em determinadas páginas analisadas, os pesquisadores encontraram mecanismos capazes de solicitar e encaminhar também:
o código temporário de confirmação enviado pelo banco.
É aquele número utilizado em determinadas operações para confirmar que:
a pessoa realmente possui acesso ao cartão ou à conta.
Isso pode incluir códigos utilizados em processos de autenticação adicional de pagamento.
Se a vítima inserir o código no site fraudulento, o atacante pode recebê-lo quase imediatamente.
Os dados são enviados em tempo real
Essa é uma das características tecnicamente mais interessantes da operação.
Segundo a análise realizada pela Nebty, as informações preenchidas no checkout são transmitidas utilizando:
WebSockets.
WebSocket é uma tecnologia legítima utilizada por aplicações web para manter comunicação contínua entre navegador e servidor.
Chats online são um exemplo clássico.
A DoppelCart utiliza essa capacidade para outra finalidade:
enviar os dados digitados pela vítima para a infraestrutura de comando e controle dos criminosos em tempo real.
Por que tempo real importa?
Imagine que um criminoso tenha:
número do cartão;
validade;
CVV.
Ele tenta realizar uma transação.
O banco envia para a vítima um código de confirmação.
A página falsa solicita:
“Digite o código recebido.”
A vítima acredita estar confirmando sua compra.
Na realidade, o código pode chegar imediatamente ao criminoso.
Isso reduz drasticamente o tempo entre:
roubo do dado
e:
tentativa de utilização.
Segurança adicional pode virar parte do próprio golpe
Esse é um dos problemas mais importantes.
Mecanismos de confirmação adicional existem justamente para impedir que apenas possuir os dados do cartão seja suficiente.
Mas a engenharia social pode convencer a própria vítima a:
entregar o segundo fator.
Não significa que autenticação multifator seja inútil.
Muito pelo contrário.
Ela continua reduzindo significativamente o risco.
Mas demonstra que sistemas de segurança precisam considerar ataques capazes de operar:
em tempo real.
96% das lojas analisadas compartilhavam arquivos praticamente idênticos
Os pesquisadores encontraram uma padronização extraordinária.
Segundo a Nebty, aproximadamente:
96% das lojas confirmadas
compartilhavam arquivos de construção idênticos.
Isso reforça a percepção de uma infraestrutura altamente automatizada.
As páginas parecem representar milhares de negócios diferentes.
Por baixo:
muitas utilizam praticamente a mesma fábrica digital.
Apenas 27 backends de comércio eletrônico apareceram por trás de grande parte do esquema
Outro indicador de centralização técnica chamou atenção.
As lojas analisadas apontavam para apenas:
27 backends de comércio eletrônico.
Isso significa que milhares de fachadas diferentes podem compartilhar um conjunto muito menor de infraestruturas centrais.
É como imaginar:
119 mil vitrines
conectadas a:
poucas dezenas de depósitos digitais.
Isso torna a DoppelCart uma operação industrial
Criar uma loja falsa manualmente é uma coisa.
Criar:
dez;
cem;
mil;
cem mil
exige outro modelo.
A escala observada sugere forte:
automação;
padronização;
reutilização de código;
deploy em massa;
gestão centralizada de infraestrutura.
A fraude deixa de parecer uma coleção de golpistas montando páginas improvisadas.
Passa a lembrar:
uma plataforma industrial de clonagem de lojas.
Mas não está provado que uma única organização controle todos os 119 mil sites
Essa ressalva é fundamental.
A Nebty conseguiu agrupar os domínios com base em:
infraestrutura;
arquivos;
comportamentos;
características das páginas.
Isso demonstra forte relação técnica.
Mas não prova necessariamente que:
uma única pessoa ou um único grupo criminoso opere absolutamente todos os domínios.
Os próprios pesquisadores fazem essa distinção.
“DoppelCart” é o nome dado ao:
cluster técnico identificado.
Atribuir toda a infraestrutura a uma organização específica exigiria evidências adicionais.
Portanto, não sabemos quem está por trás da operação
Não existe, até o momento, atribuição pública conclusiva a:
grupo de ransomware;
quadrilha identificada;
país;
organização estatal;
empresa específica.
Também não existe um número público confiável de:
vítimas;
cartões efetivamente roubados;
valores desviados.
Isso significa que não devemos transformar:
119 mil domínios
em:
119 mil golpes bem-sucedidos.
O número de sites é impressionante, mas não revela o prejuízo financeiro
Um site pode permanecer meses sem enganar ninguém.
Outro pode capturar milhares de cartões.
Sem acesso aos dados completos da infraestrutura criminosa, não sabemos:
quantos compradores entraram;
quantos chegaram ao checkout;
quantos digitaram cartões;
quantos cartões foram utilizados posteriormente;
qual foi o prejuízo.
Portanto, o impacto financeiro total:
permanece desconhecido.
A comparação com BogusBazaar mostra a dimensão do problema
Antes da DoppelCart, outra grande rede havia chamado atenção:
BogusBazaar.
A infraestrutura foi associada a cerca de:
75 mil lojas fraudulentas.
Estimativas apontaram aproximadamente:
850 mil transações fraudulentas
durante sua operação.
A DoppelCart supera aquela rede em quantidade de domínios documentados.
Mas isso não significa necessariamente que tenha provocado mais transações ou prejuízo.
São métricas diferentes.
Descontos de até 65% atraíam compradores
O mecanismo psicológico continua extremamente tradicional.
A tecnologia é sofisticada.
A isca:
preço baixo.
Pesquisadores encontraram produtos anunciados com descontos que chegavam a:
65%.
Esse tipo de oferta é eficiente porque explora duas emoções:
oportunidade
e:
urgência.
O comprador pensa:
“se eu não comprar agora, vou perder.”
E o criminoso precisa justamente impedir que a vítima tenha tempo de:
verificar.
O golpe funciona melhor quando o preço é bom, mas ainda parece possível
Uma televisão de R$ 5 mil vendida por:
R$ 100
provavelmente gera desconfiança.
Mas um produto de R$ 1 mil vendido por:
R$ 650
pode parecer uma promoção legítima.
Criminosos sofisticados entendem que:
credibilidade é parte do golpe.
O desconto precisa ser grande o suficiente para atrair.
Mas não tão absurdo a ponto de afastar.
A loja pode até fornecer o contato verdadeiro da marca
Esse é um detalhe particularmente perverso.
Algumas páginas falsas apresentavam:
o verdadeiro endereço de suporte da empresa imitada.
A vítima realiza a compra.
O produto não chega.
Ela procura a seção de contato.
Envia mensagem para:
a empresa legítima.
A marca verdadeira passa então a receber reclamações de uma compra:
que nunca vendeu;
que nunca recebeu;
e de um site:
que não controla.
O prejuízo atinge também a reputação das empresas copiadas
Mesmo sem sofrer uma invasão, uma empresa pode ser vítima da DoppelCart.
Sua identidade é clonada.
Consumidores são enganados.
Depois aparecem reclamações em:
redes sociais;
Google;
Reclame Aqui;
suporte;
sites de avaliação.
O consumidor pode concluir:
“essa marca me roubou.”
Quando, na realidade:
a marca também foi vítima.
Isso é chamado de brand abuse
Cibersegurança corporativa tradicionalmente se concentra em proteger:
servidores;
notebooks;
contas;
redes.
Mas existe uma área crescente chamada:
proteção de marca digital.
Ela monitora:
domínios parecidos;
sites falsos;
perfis fraudulentos;
anúncios;
aplicativos;
phishing.
No caso DoppelCart, essa capacidade torna-se extremamente importante.
A Nebty criou uma base pesquisável
A empresa responsável pela investigação decidiu publicar um banco de informações permitindo que organizações pesquisem se suas marcas aparecem no cluster.
A ideia é ajudar empresas a identificar:
domínios falsos;
abuso de marca;
páginas fraudulentas.
Isso também facilita pedidos de:
remoção;
bloqueio;
investigação.
Tirar 119 mil sites do ar não é simples
Imagine detectar uma página falsa.
Você entra em contato com:
registrador;
provedor de hospedagem;
CDN;
empresa responsável pelo domínio.
Apresenta evidências.
Solicita remoção.
Agora multiplique por:
119 mil.
Essa é a vantagem econômica da escala para os criminosos.
Mesmo que centenas sejam derrubados por dia:
milhares continuam funcionando.
Domínios baratos ajudam a industrializar fraude
Registrar um domínio pode custar pouco.
Criar automaticamente uma página pode custar praticamente nada depois que a infraestrutura está pronta.
Assim, o criminoso pode adotar uma estratégia de:
descartabilidade.
Perdeu 100 sites?
Cria outros.
Perdeu mil?
Registra novos.
Isso se assemelha ao modelo usado em:
phishing;
malvertising;
spam;
malware.
Os criminosos não precisam que cada loja dure muito tempo
Esse é outro ponto essencial.
Uma empresa legítima precisa construir reputação por:
anos.
Um golpista talvez precise que uma página exista por:
dias.
Se nesse período roubar dados suficientes, ela cumpriu sua função.
Quando o site é bloqueado:
abandona;
troca o domínio;
repete.
Isso cria um enorme desequilíbrio entre:
defensor
e:
atacante.
Motores de busca e anúncios também entram no problema
Uma loja falsa não precisa esperar que alguém descubra seu endereço por acaso.
Criminosos podem utilizar:
SEO;
redes sociais;
anúncios;
mensagens;
e-mail;
marketplaces;
grupos.
A vítima encontra uma promoção aparentemente normal enquanto procura um produto.
Nesse momento, não acredita estar entrando em um:
site de phishing.
Acredita estar:
fazendo compras.
É justamente isso que torna lojas falsas tão perigosas
Quando alguém recebe:
“SEU BANCO SERÁ BLOQUEADO EM CINCO MINUTOS”
talvez desconfie.
Mas uma página contendo:
cafeteira;
roupa;
sapato;
aspirador;
relógio
não provoca imediatamente a mesma reação de defesa.
O contexto comercial:
reduz a percepção de risco.
O cadeado no navegador não prova que uma loja é legítima
Outro mito precisa ser eliminado.
Ver:
https://
e o ícone de cadeado significa basicamente que a comunicação entre seu navegador e aquele servidor está:
criptografada.
Não significa que:
a loja é verdadeira;
o proprietário foi investigado;
a empresa existe;
o domínio é confiável.
Um criminoso pode ter:
HTTPS perfeitamente válido.
Você apenas terá uma conexão criptografada:
com o golpista.
O domínio precisa ser conferido cuidadosamente
Antes de realizar uma compra, especialmente em uma promoção encontrada fora do site habitual, observe:
endereço;
grafia;
extensão;
subdomínio.
Um site verdadeiro pode ser:
marca.com.br
E o falso:
marca-oficial-promocao.shop
Visualmente, pode parecer legítimo.
Tecnicamente:
é outro domínio.
Pesquisar a loja separadamente pode evitar o golpe
Em vez de clicar no anúncio:
abra uma nova aba.
Pesquise a marca.
Encontre seu endereço oficial.
Procure o mesmo produto diretamente no site verdadeiro.
Se a promoção existir apenas na página encontrada pelo anúncio:
desconfie.
O desconto precisa ser comparado
Se todos os grandes varejistas vendem determinado produto por:
R$ 2 mil
e um site desconhecido oferece por:
R$ 799,
pergunte:
por quê?
Liquidadores existem.
Promoções existem.
Mas criminosos contam justamente com o desejo de encontrar:
uma oportunidade que ninguém mais percebeu.
Cartão virtual pode reduzir o impacto
Para compras online, utilizar um:
cartão virtual
pode limitar determinados riscos.
Muitos bancos permitem gerar cartões:
temporários;
recorrentes;
com limites específicos.
Se o número for comprometido, é possível cancelá-lo sem necessariamente substituir o cartão físico principal.
Isso não torna uma loja falsa segura.
Mas pode reduzir o impacto.
Limite baixo também ajuda
Outra prática é ajustar temporariamente:
o limite disponível.
Se a compra é de R$ 300, talvez não faça sentido deixar um limite de:
R$ 20 mil
disponível naquele cartão.
Novamente:
não impede o roubo.
Mas reduz a capacidade de monetização dos dados.
Nunca entregue código bancário sem entender exatamente o que está autorizando
Esse é um dos principais alertas da DoppelCart.
Um código enviado por:
SMS;
push;
aplicativo bancário
não é apenas um número.
Pode representar:
autorização.
Leia cuidadosamente a mensagem enviada pelo banco.
Ela pode informar:
valor;
empresa;
transação;
operação.
Se não corresponder exatamente ao que você está fazendo:
não digite.
O banco não envia um código para “provar que você é você” sem contexto
Golpistas frequentemente dizem:
“informe o código para confirmar sua identidade.”
Mas aquele código pode estar confirmando:
compra;
cadastro;
login;
alteração;
transferência.
É essencial compreender:
qual ação o código está autorizando.
Se comprou em uma loja falsa, agir rápido pode fazer diferença
Quem suspeita de ter informado cartão em uma página fraudulenta deve considerar:
bloquear o cartão;
contatar a instituição financeira;
verificar transações;
contestar cobranças;
trocar credenciais se alguma senha tiver sido reutilizada;
monitorar tentativas de fraude.
Se informações pessoais também foram entregues, é preciso ficar atento a:
novas tentativas de engenharia social.
Porque o golpe pode continuar depois da compra
O criminoso agora pode possuir:
nome;
telefone;
e-mail;
endereço;
produto procurado;
dados do cartão.
Dias depois, pode ligar:
“Olá, somos do seu banco. Detectamos uma compra suspeita naquela loja.”
A vítima pensa:
eles sabem da compra, então devem ser o banco.
Mas quem sabe da compra pode ser justamente:
o criminoso.
Dados roubados melhoram golpes futuros
Essa é a lógica da fraude moderna.
Um incidente alimenta o próximo.
Informações de uma loja falsa podem ser combinadas com:
vazamentos anteriores;
redes sociais;
bases clandestinas.
Cada fragmento melhora a capacidade de personificação.
A DoppelCart demonstra que cibercrime virou uma indústria de escala
O aspecto mais impressionante não é uma técnica revolucionária.
Não existe, até agora, indicação pública de que os criminosos tenham descoberto uma vulnerabilidade inédita nos cartões.
Eles fizeram algo talvez ainda mais eficiente:
industrializaram a engenharia social.
Copiaram milhares de marcas.
Criaram quase 119 mil domínios.
Padronizaram a infraestrutura.
Automatizaram lojas.
Centralizaram checkouts.
Capturaram dados em tempo real.
E transformaram uma fraude antiga:
loja falsa
em uma operação de escala gigantesca.
A internet permitiu criar uma loja sem possuir uma loja
Esse é o paradoxo.
Os criminosos não precisam de:
estoque;
centro de distribuição;
funcionários;
fornecedores;
transportadora.
Precisam apenas da aparência de tudo isso.
O catálogo é copiado.
A fotografia é copiada.
A descrição é copiada.
A marca é copiada.
A única coisa verdadeira no processo pode ser:
o cartão da vítima.
A principal lição está no endereço, não no design
Em 2026, avaliar a legitimidade de uma loja apenas pela aparência é cada vez menos seguro.
Sites fraudulentos podem ser:
bonitos;
rápidos;
responsivos;
criptografados;
profissionais.
A pergunta precisa mudar.
Em vez de:
“este site parece verdadeiro?”
pergunte:
“eu confirmei que este é realmente o site oficial da empresa?”
A DoppelCart mostra por que essa diferença importa.
Quase 119 mil domínios associados a lojas falsas conseguiram imitar mais de 44 mil marcas.
Mais de 105 mil ainda estavam acessíveis quando os pesquisadores realizaram seus levantamentos.
E algumas páginas não se limitavam a roubar números de cartão.
Elas tentavam acompanhar a vítima até a última barreira do banco:
o código de confirmação.
A loja falsa do futuro não precisa parecer um golpe.
Para funcionar, ela precisa parecer exatamente o contrário:
uma ótima oportunidade.
