820 фалшиви сайта за поръчки на 35 вериги ресторанти показваха собственото меню на ресторанта, а след това взимаха данните на картата и текстовия код от банката. Клиентите не са направили нищо нередно. Google е показвал рекламите от юли до октомври.

Някой иска обяд от Jimmy John’s. Той изписва името в Google, вместо да въведе уеб адреса, а най-отгоре в резултатите стои връзка, която изглежда като собствената страница на ресторанта. Заглавието гласи нещо като „Поръчайте сандвичи за взимане на място“, с ред за доставка, кетъринг или обект близо до вас. С един клик се отваря страница за поръчки със сандвичите и работното време, а цените съвпадат с тези на ресторанта.

Те съвпадат, защото фалшивият сайт ги заема. Всеки път, когато кликнете, той тихо изисква същата тази страница от уебсайта на ресторанта, получава я обратно, поставя собствения си уеб адрес на мястото на този на ресторанта и ви я показва. Вие гледате собствената страница на ресторанта, прекарана през чужд сървър. Тази конфигурация се нарича обратен прокси сървър (reverse proxy).

Така че, когато ресторантът промени цена на обяд, фалшивият сайт също показва новата цена на обяд. Дори собствената проверка за ботове на ресторанта продължава да работи на страницата, тъй като фалшивият сайт преправя връзките ѝ, така че тя все още да функционира. Изследователите, които откриха мрежата в компания, наречена InfoHawk, я нарекоха Scamwich и казват, че самият ресторант изобщо не е трябвало да бъде хакван.

Само една част от страницата бива подменена. При плащане полето, в което въвеждате картата си, обикновено идва от компанията, която обработва плащанията на ресторанта. Фалшивият сайт поставя свое собствено поле на негово място. Малък скрипт следи страницата и ако оригиналното поле се появи отново, той пак го подменя.

Втори скрипт проверява бутона за финализиране на поръчката („Place order“) два пъти в секунда и копира общата сума. Така фалшивото поле показва точната сума във вашата количка, до последния цент.

Адресната лента също не ви помага. Сайтовете стоят зад Cloudflare – услуга, която скрива къде всъщност се хоства даден уебсайт и му предоставя файла, който браузърът ви проверява, преди да обяви връзката за защитена. Този файл се нарича сертификат и тези сайтове са имали валидни такива. В примера, който изследователите показват, сертификатът е издаден от Google Trust Services.

Така браузърът ви казва, че връзката е защитена. Това означава единствено, че външни лица не могат да прочетат какво преминава между вас и сайта. Самият сайт е принадлежал на измамниците.

Фалшивото поле изисква номера на картата, срока на валидност, трите цифри на гърба, вашето име и телефонния ви номер. В момента, в който натиснете бутона за плащане, тези данни отиват при измамника заедно с името на фалшивия сайт.

Данните пристигат веднага чрез връзка между вашия браузър и техния сървър, която остава отворена, докато сте на страницата. Инструментът зад това се нарича socket.io. Някой от другата страна може да види картата ви веднага щом я изпратите.

Това, което се случва след това, е нещото, за което според изследователите е създаден този комплект – фалшивите страници и скриптовете зад всеки сайт. Човек стои зад контролен панел и използва картата ви на друго място.

Много банки изискват още една проверка, когато плащате онлайн: код чрез текстово съобщение или потвърждение с докосване в банковото ви приложение. По този начин само номерът на картата не е достатъчен. Проверката се нарича 3-D Secure. Тук тя работи срещу вас.

Защото, когато банката ви изпрати този код, измамникът изкарва нова страница на екрана ви. Една страница казва, че картата е отхвърлена, и иска друга. Друга иска кода, който е пристигнал на телефона ви. Трета ви моли да одобрите плащането в банковото си приложение. Четвърта казва, че кодът е грешен, и ви моли да го въведете отново.

Вие въвеждате кода, за да платите обяда си. Според изследователите именно този код позволява на собствената покупка на измамника да премине през проверката на банката. Това е тяхното тълкуване на комплекта за измама; докладът не показва реално преминало плащане.

Когато измамникът приключи, страницата оставя малък файл в браузъра ви – бисквитка с име valid и стойност 77777, настроена да важи до 2038 г. В копието, което изследователите са разглобили, тя след това ви препраща към уебсайта на друга верига, Jimmy John’s, чрез услуга за връзки, наречена href.li, която скрива откъде сте дошли.

Никаква поръчка никога не стига до ресторанта. Чакате храна, която няма да дойде, а според изследователите картата ви е платила за онова, което измамникът е купил.

Изследователите са преброили 820 от тези фалшиви уеб адреси в два кръга на търсене – копия на 35 вериги ресторанти. 808 от тях завършват на .delivery. Това е последната част от уеб адреса, подобно на .com, и това разширение е официално, добавено към адресната система на интернет през 2014 г. и управлявано от компания, наречена Identity Digital. За сайт, от който поръчвате храна, то звучи напълно подходящо. Останалите завършват на .com или .shop.

Само Jimmy John’s е имал 404 фалшиви домейна. Firehouse Subs е имал 121, с имена като flrehousesubs.delivery – с буквата „l“ на мястото, където трябва да бъде „i“. Jersey Mike’s е имал 80, сред които mlckessejersstey.delivery и jerseymikes-delivery.com. Dave’s Hot Chicken е имал 67.

Waffle House е получил w0ffleh0use.delivery, с нули вместо буквите „a“ и „o“. Chipotle, Popeyes, Panera Bread, Five Guys, Little Caesars, Tim Hortons и Wawa също са в списъка, някои с едно копие, други с няколко. Най-ранното копие в проучването се е появило на 3 март 2026 г.

Почти всички от тях, 761 от 820-те, стоят зад същата онази услуга, която скрива техните сървъри. От първите 255, които изследователите са открили, 251 са били закупени от един и същ магазин за уеб адреси – Dynadot. Такъв магазин се нарича регистратор на домейни.

На един сървър е имало активен панел за карти – мястото, където пристигат данните от картите. Втора група от 68 домейна е свързана със сървър в облака на Amazon и някои от тези сайтове работят директно от него, във Франкфурт, с малко по-различен скрипт. Изследователите не са открили нищо, което да показва, че едни и същи хора управляват и двете групи.

В киберсигурността установяването на авторството е един от най-трудните проблеми. Един комплект от инструменти може да бъде споделен или продаден. Адресът на сървъра ви казва къде е наета дадена машина, а не кой я наема. Това, което знаем със сигурност, е как работят тези сайтове.

На 4 ноември 367 от 820-те домейна все още са обслужвали активен сайт.

За да привлекат хора към тях, измамниците са купували реклами в търсачката на Google. Изследователите са открили поне 47 от тях между 7 юли и 20 октомври 2026 г. При това те са проверили рекламите само за сайтовете от първото си търсене, така че вероятно е имало и още.

Рекламите са се излъчвали през 46 отделни рекламодателски профила с 43 различни имена на фирми, които изглеждат несвързани с веригите: строителни компании, фирма за часовници, организация за спасяване на влечуги. Изследователите не казват как измамниците са се сдобили с тези профили. Повечето реклами са били активни от един до четири дни, като обикновено са започвали няколко дни след регистрацията на домейна. Най-дългата е продължила 56 дни, а следващата – 39.

Google публикува ежегоден доклад за злонамерените реклами, които спира. Този за 2025 г. излезе на 16 април 2026 г. Компанията твърди, че е блокирала или премахнала над 8,3 милиарда реклами и е закрила 24,9 милиона профила. Според доклада нейните системи са заловили над 99 процента от рекламите, нарушаващи правилата ѝ, още преди да бъдат показани, а 602 милиона реклами са били свързани с измами. Твърди се също, че компанията проверява кои са нейните рекламодатели.

Тези 47 са преминали. Някои от тях са останали активни със седмици.

Един рекламодател може да плати на Google, за да покаже реклама, когато някой търси името на друга компания. Тази дума за търсене се нарича ключова дума и политиката на Google за търговските марки не ограничава използването на чужда марка там. Много от рекламите са поставяли името на марката и в самото заглавие, последвано от думи като „Menu Items“ (Артикули от менюто) или „Catering Menu“ (Кетъринг меню).

При 20-те реклами на Jimmy John’s това не е било така. Техните заглавия са гласели „Sandwich Shop“ (Магазин за сандвичи) или „Order Sandwiches for Delivery“ (Поръчайте сандвичи с доставка), така че при оплакване за нарушена търговска марка от страна на веригата в рекламата не би било открито име на марка, което да бъде посочено.

Google има второ правило, което изобщо не се нуждае от подаване на сигнал. Политиката на компанията срещу подвеждащи реклами забранява представянето за друга марка или бизнес както в самата реклама, така и на уебсайта зад нея. Google третира това като едно от най-сериозните си нарушения и може да спре профила без предупреждение. Тези реклами са пренасочвали хората към сайтове, които са се представяли за съответния ресторант. Въпреки това те са се излъчвали, макар и повечето от тях само за няколко дни.

Човекът, чиято компания откри всичко това, познава рекламния бизнес отвътре. Роб Ледърн, неин главен изпълнителен директор и съосновател, е бил вицепрезидент по продуктите за поверителност и сигурност в Google и е ръководил отдела за бизнес почтеност (Business Integrity) в Meta, според страницата с екипа на самата компания. Фирмата продава инструменти за откриване на точно такъв вид клонинги, а докладът завършва с предложение за проверка дали някой не копира вашата марка.

Самият трик е по-стар от тази кампания. На 24 февруари 2023 г. писателят Кори Доктороу описва как е търсил тайландски ресторант в Бърбанк, който харесвал – Kiin Thai. Той кликнал върху спонсориран резултат за сайт, наречен kiinthaila.com, изграден на платформата Wix, докато собственият уебсайт на ресторанта бил на трето място надолу в резултатите. Копието добавяло 15 процента към цените, предавало поръчката на ресторанта и го таксувало два пъти.

От ресторанта му се обадили, за да отменят поръчката, и му казали да се свърже с компанията, издала картата му, за да му върнат парите. Онази версия все пак е генерирала реална поръчка. Версията от 2026 г. не генерира такава, показва актуалното меню на ресторанта в реално време вместо копирано и се цели и във вашия банков код.

Два месеца преди тази публикация, на 21 декември 2022 г., ФБР вече беше предупредило за това. От бюрото написаха, че престъпници купуват реклами в търсачките с уеб адреси, които приличат на тези на известни фирми. Тези реклами се появяват най-отгоре в резултатите и изглеждат почти по същия начин като нормалните. Съветът им тогава беше: проверявайте адреса, преди да кликнете върху реклама, изписвайте сами адреса на търговеца, вместо да го търсите, и използвайте програма за блокиране на реклами (ad blocker).

Веригите в тази кампания са американски. Фалшив сайт, който извлича страниците от оригинала и подменя само полето за плащане, би работил по същия начин за пицария в Ротердам или услуга за доставка в Берлин.

Към 3 ноември нито една от рекламите, открити от изследователите, вече не беше активна, а собствената страница на Google за проверка на реклами сега показва съобщението „Can’t find ad“ (Рекламата не може да бъде намерена) за тях.

Ресторантите имат един начин да забележат това рано. Фалшивият сайт трябва да изисква всяка страница от собствения сървър на ресторанта. Така че верига, която следи дали страниците ѝ се зареждат под странен уеб адрес или наблюдава за започнати плащания, които никога не стигат до нейния доставчик на платежни услуги, може бързо да засече тези сайтове.

Какво можете да направите, преди да платите за храна онлайн:

  • → Изпишете сами адреса на ресторанта, използвайте отметка в браузъра или поръчайте през неговото собствено приложение
  • → Погледнете домейна в адресната лента. Защитената връзка ви казва единствено, че трафикът е криптиран
  • → Име на марка, последвано от .delivery, -delivery.com или -us.com, беше моделът в тази кампания
  • → Прочетете пълния текст на съобщението от вашата банка, преди да въведете код където и да било. Ако търговецът или сумата не съвпадат с вашата поръчка, спрете
  • → Плащайте с кредитна карта, където е възможно, за да можете да оспорите трансакцията
  • → Използвайте програма за блокиране на реклами – един от съветите от онова предупреждение от 2022 г.
  • → Ако сте въвели данните на картата си в подобен сайт, обадете се на банката си, блокирайте картата, а ако сте в САЩ, подайте сигнал на ic3.gov

Хакерството не е хоби, а начин на живот.

Доклад за Scamwich на InfoHawk | Политика на Google Ads срещу подвеждащо представяне | Официално предупреждение на ФБР (IC3) от декември 2022 г.