DoppelCart, al descubierto: 118.787 tiendas falsas imitan marcas para robar tarjetas

La firma alemana de ciberseguridad Nebty ha destapado hoy una red de 118.787 dominios falsos bajo .shop. La ha llamado DoppelCart y su objetivo es bastante claro: hacerse pasar por tiendas legítimas para robar los datos de pago de los clientes. Por tamaño, el hallazgo coloca a DoppelCart entre las mayores campañas de fraude en comercio electrónico que se han visto hasta la fecha. Esos dominios representan cerca del 2,72% del total de dominios .shop analizados y, según Nebty, se trata de la mayor red de tiendas falsas documentada públicamente si se mide por número de dominios.

Avast Free Antivirus Descargar

El mecanismo no tiene mucho misterio, pero sí mucho peligro. Los sitios replican catálogos, descripciones, logotipos e imágenes de comercios reales para resultar creíbles y, en algunos casos, incluso cargan recursos directamente desde la infraestructura de las empresas auténticas. Eso hace que el engaño cueste todavía más de detectar. Nebty sostiene que la red suplanta a 44.182 marcas distintas, con una mediana de dos clones por marca, aunque hubo casos que pasaron de las 30 tiendas falsas activas al mismo tiempo.

Para cualquier usuario, muchas de estas páginas pasan por comercios completamente normales. Tienen HTTPS, un diseño cuidado y fotos de producto auténticas. El punto más delicado aparece al pagar: las tiendas falsas de DoppelCart recogen números de tarjeta, fecha de caducidad, CVV y datos de facturación. Y van un paso más allá. También solicitan códigos bancarios de confirmación de un solo uso y los reenvían en tiempo real a servidores controlados por los atacantes a través de WebSockets.

Quedarse con esos códigos justo en el momento de la compra puede dar a los delincuentes una ventana para hacer cargos de inmediato, antes de que la víctima llegue a sospechar nada o decida bloquear la tarjeta. Según el análisis de Nebty citado por BleepingComputer, hay otro indicio de que aquí no hablamos de algo improvisado, sino de una operación montada a escala industrial: la uniformidad técnica. El 96% de las tiendas DoppelCart confirmadas compartía archivos de compilación idénticos y funcionaba sobre solo 27 plataformas de comercio electrónico.

Eso, por sí solo, no demuestra que todos los dominios estén en manos de un único grupo. Pero sí apunta a herramientas centralizadas y a procesos muy fáciles de repetir para levantar tiendas fraudulentas en masa. El gancho más habitual son descuentos de hasta el 65%, pensados para empujar al usuario a comprar deprisa y sin detenerse a revisar el dominio, la identidad real de la empresa o la pasarela de pago.

DoppelCart deja atrás operaciones anteriores como BogusBazaar, red a la que se atribuyeron 75.000 sitios, y aparece además en pleno repunte del fraude online. Distintos informes hablan de un aumento del 790% en las estafas con falsas tiendas online durante el primer trimestre de 2025 y de más de 80.000 tiendas fraudulentas detectadas en la campaña navideña de 2024.

Para recortar riesgos, merece la pena revisar la URL con lupa, no fiarse de anuncios ni de resultados patrocinados, buscar el dominio exacto junto a términos como “estafa” u “opiniones” y dar prioridad a métodos de pago con protección al comprador. También conviene desconfiar si el banco pide códigos de verificación en una situación poco clara, porque esa pantalla puede ser justo lo que los estafadores quieren conseguir. Por ahora no se sabe quién opera la red y tampoco hay constancia de comunicados públicos por parte de las fuerzas de seguridad ni de una respuesta del registro de .shop, aunque, según Nebty, algunas retiradas de dominios sí habrían salido adelante.