// Studia przypadków
Klaster 2 200+ fałszywych sklepów i Ad-Cloaking: anatomia oszustwa za reklamami w social media
Sponsorowana reklama w mediach społecznościowych obiecuje do 80% rabatu na markowe meble, odzież zimową lub obuwie. Kliknięcie na smartfonie otwiera perfekcyjnie sklonowany sklep internetowy — z autentycznymi zdjęciami produktów i skopiowanymi danymi rejestrowymi. Gdy jednak analityk bezpieczeństwa otwiera tę samą domenę bezpośrednio na komputerze, widzi nieszkodliwy katalog demonstracyjny z torebkami lub zabawkami. W tym śledztwie odtworzyliśmy w izolowanym środowisku mechanizm warunkowego serwowania treści (Ad-Cloaking) stojący za taką kampanią (m.in. na przykładzie 6pmseason-styles[.]shop), wyodrębniliśmy sygnaturę techniczną platformy (SHOPOEM / oemsaas) i na podstawie ponad 88 współdzielonych adresów IP reverse-proxy zmapowaliśmy klaster przeszło 2 200 aktywnych domen jednorazowych w Polsce, regionie DACH i UE.
Zaktualizowano: 2026-11-03
Przebieg sprawy
- 1Ujawnić warunkowe serwowanie treści (Ad-Cloaking) w izolacji: Serwer weryfikuje nagłówek User-Agent (smartfon), geolokalizację IP oraz parametr kliknięcia reklamowego (np. fbclid), wyświetlając skanerom i komputerom stacjonarnym nieszkodliwą stronę-przykrywkę.
- 2Wykryć podszywanie pod markę bez użycia jej nazwy w URL: Ponad 20 udokumentowanych klonów znanej sieci wyposażenia wnętrz nie zawierało ani jednej litery marki w adresie domeny — przez co klasyczny monitoring słów kluczowych pozostaje ślepy.
- 3Zabezpieczyć sygnaturę techniczną platformy w kodzie DOM i ruchu sieciowym: Powtarzalne ścieżki skryptów, szablony (SHOPOEM / oemsaas) oraz trzy równoległe piksele śledzące w formularzu płatności dowodzą zautomatyzowanego zarządzania kampanią.
- 4Skorelować cały klaster poprzez współdzieloną infrastrukturę: Pasywne mapowanie ponad 88 powtarzających się adresów IP reverse-proxy, certyfikatów TLS i serwerów nazw pozwoliło powiązać przeszło 2 200 domen w jedną sieć operacyjną.
- 5Zdemaskować fałszywe kotwice zaufania w sklepie: Skopiowane numery rejestrowe (KRS / HRB), prawdziwe adresy niepowiązanych spółek w stopce oraz statyczne grafiki bramek płatniczych budują wyłącznie pozorne poczucie bezpieczeństwa.
- 6Przeanalizować pułapkę autoryzacji 3D Secure w koszyku: Gdy ofiara widzi kręcący się ekran ładowania, sprawcy inicjują w tle obciążenie karty lub podpięcie jej do wirtualnego portfela (Apple Pay / Google Pay) i przechwytują kod SMS/push.
- 7Wdrożyć skoordynowane zgłoszenia abuse i blokady: Przekazać zbiorcze paczki dowodowe (IOC całego klastra) do rejestratorów, operatorów CDN/proxy, sieci reklamowych oraz list przeglądarek (Safe Browsing / CERT Polska), a zagrożoną kartę natychmiast zastrzec.
Czego unikać
- Nigdy nie oceniaj wiarygodności sklepu z reklamy społecznościowej oferującej -70% lub -80% wyłącznie po profesjonalnym wyglądzie strony lub obecności regulaminu.
- Nigdy nie zatwierdzaj kodu 3D Secure ani powiadomienia push w aplikacji bankowej bez sprawdzenia dokładnej nazwy odbiorcy, waluty i kwoty transakcji.
- Nie zakładaj, że monitoring marki działa kompletnie, jeśli śledzi wyłącznie domeny zawierające nazwę firmy — klastry Ad-Cloaking używają domen ogólnych.
- Nie otwieraj podejrzanych linków reklamowych w celach weryfikacji bezpośrednio z sieci firmowej ani na niezabezpieczonym telefonie służbowym.
// MONITORING MARKI & ANTY-TYPOSQUATTING
Chroń markę firmy: natychmiastowe wykrywanie fałszywych domen i podszywania
Stale monitorujemy nowo rejestrowane domeny, logi certyfikatów SSL i fałszywe profile podszywające się pod Twoją firmę. Zabezpieczamy dowody i koordynujemy procedury takedown, zanim klienci poniosą szkodę.
Najczęstsze pytania
- Dlaczego na komputerze w biurze widzę zwykły katalog torebek, a klienci na telefonach widzą podrobiony sklep znanej marki?
- To efekt mechanizmu Ad-Cloaking: serwer sprawdza w ułamku sekundy, czy wejście pochodzi ze smartfona z danego kraju oraz czy adres zawiera identyfikator kliknięcia z płatnej reklamy. Bezpośrednie wejścia z komputera są traktowane jako audyt i otrzymują nieszkodliwą stronę demonstracyjną.
- Dlaczego tradycyjne narzędzia ochrony marki nie wykrywają tych domen?
- Ponieważ przestępcy rejestrują domeny ogólne (np. losowe zbitki słów związanych z modą lub sezonem z końcówkami .shop, .top, .store), w których chroniona nazwa marki w ogóle nie występuje. Logotypy i zdjęcia ładowane są dopiero po przejściu filtrów cloakingu.
- Wpisałem dane karty i kod 3D Secure w takim sklepie — co zrobić w pierwszej kolejności?
- Natychmiast zastrzeż kartę w aplikacji bankowej, sprawdź w ustawieniach banku listę podpiętych portfeli cyfrowych (Apple Pay / Google Pay), zgłoś reklamację transakcji (chargeback) i zachowaj zrzuty ekranu wraz z adresem URL reklamy do zgłoszenia w CERT Polska (incydent.cert.pl).