Chiến dịch Scamwich sử dụng reverse proxy để đánh cắp thanh toán giao đồ ăn

Các nhà nghiên cứu bảo mật đã xác định một chiến dịch đánh cắp dữ liệu thanh toán tinh vi có tên "Scamwich", nhắm vào khách hàng của các chuỗi nhà hàng lớn. Hoạt động từ tháng 7 đến tháng 10 năm 2026, chiến dịch này sử dụng các tên miền giả mạo được quảng bá qua quảng cáo tìm kiếm trên Google để chặn thông tin chi tiết thẻ tín dụng trong quá trình thanh toán. Kẻ tấn công đã áp dụng công nghệ reverse proxy để nhân bản các trang web nhà hàng hợp pháp theo thời gian thực, đảm bảo rằng menu và giá cả trông giống thật trong khi âm thầm chuyển hướng dữ liệu thanh toán về máy chủ của chúng.

Chuyện gì đã xảy ra

Chiến dịch dựa vào mạng lưới gồm ít nhất 820 tên miền tương tự (look-alike domains), nhiều tên trong số đó được đăng ký ngay trước khi được quảng bá qua quảng cáo tìm kiếm trả phí. Những quảng cáo này mô phỏng danh sách nhà hàng chính thức của các thương hiệu như Jersey Mike’s, dẫn người dùng đến các trang web lừa đảo được lưu trữ phía sau Cloudflare. Do Cloudflare tự động cấp phát chứng chỉ TLS hợp lệ từ Google Trust Services, trình duyệt hiển thị chỉ báo kết nối an toàn, tạo thêm uy tín giả cho các trang web lừa đảo. Tính đến ngày 4 tháng 11 năm 2026, 367 trong số các tên miền này vẫn đang hoạt động và cung cấp nội dung, mặc dù các chiến dịch quảng cáo cụ thể đã bị gỡ bỏ khỏi nền tảng của Google.

Khi người dùng truy cập vào một trong những trang web nhân bản này, một máy chủ reverse proxy nằm giữa nạn nhân và trang web nhà hàng hợp pháp. Proxy này lấy mọi trang, mục menu và giá cả trực tiếp từ trang web thật, đảm bảo giờ mở cửa và tồn kho luôn được cập nhật. Hệ thống viết lại URL và tiêu đề (headers) ngay lập tức, thay thế hostname thực tế của thương hiệu bằng tên miền giả. Kỹ thuật này cho phép các chức năng cốt lõi như tra cứu địa chỉ, đăng nhập và quản lý giỏ hàng hoạt động liền mạch vì các yêu cầu đó vẫn được định tuyến tới API backend hợp pháp thông qua proxy.

Sự lừa dối chỉ diễn ra ở giai đoạn thanh toán. Kẻ tấn công chèn ba script cụ thể vào mọi trang để thao túng luồng thanh toán. Một script chặn (script blocker) ngăn cản các công cụ bên thứ ba hợp pháp, chẳng hạn như banner cookie hoặc dịch vụ chuyển hướng ứng dụng, tải lên. Một script khác, được gắn nhãn _jmu(), sử dụng MutationObserver để liên tục thay thế iframe thanh toán hợp pháp bằng một iframe giả được lưu trữ trên máy chủ của kẻ lừa đảo. Script thứ ba, _chkT(), giám sát nút tổng đơn hàng mỗi nửa giây để đảm bảo biểu mẫu thanh toán giả hiển thị đúng số tiền. Khi người dùng nhập thông tin thẻ, dữ liệu được gửi qua kết nối socket.io trực tiếp tới các vận hành viên, những người sau đó xử lý thủ công các giao dịch gian lận ở nơi khác.

Chi tiết quan trọng

• Chiến dịch sử dụng ít nhất 820 tên miền duy nhất, với 367 tên vẫn còn hoạt động tính đến ngày 4 tháng 11 năm 2026.
• Kẻ tấn công chạy ít nhất 47 quảng cáo văn bản trên Google Search dưới 46 tài khoản nhà quảng cáo khác nhau sử dụng tên doanh nghiệp không liên quan.
• Bộ công cụ gian lận sử dụng reverse proxy để lấy nội dung trực tiếp từ các trang web thật, đảm bảo menu và giá cả luôn chính xác.
• Ba script được chèn vào xử lý việc chặn script, thay thế khung thanh toán và đồng bộ hóa tổng đơn hàng.
• Dữ liệu thẻ bị đánh cắp được truyền qua socket.io tới các vận hành viên là con người, những người bỏ qua kiểm tra 3-D Secure theo thời gian thực.
• Nạn nhân thành công được chuyển hướng tới các trang web đối thủ hợp pháp qua liên kết href.li sau khi cookie valid=77777 được thiết lập.

Bối cảnh

Reverse proxy là một máy chủ nằm giữa thiết bị khách và máy chủ backend, chuyển tiếp các yêu cầu và trả về phản hồi. Trong các trường hợp sử dụng hợp pháp, reverse proxy cải thiện hiệu suất, xử lý cân bằng tải và cung cấp bảo mật. Tuy nhiên, trong cuộc tấn công này, proxy đã được vũ khí hóa để tạo ra một bản sao hoàn hảo của trang web mục tiêu. Bằng cách lấy nội dung động từ trang web thật, kẻ tấn công tránh được nhu cầu duy trì các bản sao tĩnh của menu hoặc giá cả, vốn sẽ nhanh chóng trở nên lỗi thời. Cách tiếp cận này cũng cho phép họ tái sử dụng cùng một mã nguồn cho nhiều thương hiệu nhà hàng chỉ bằng cách thay đổi URL đích và cấu hình tên miền.

Việc sử dụng Mạng phân phối nội dung (CDN) như Cloudflare đóng vai trò then chốt trong độ tin cậy của vụ lừa đảo. Các CDN thường cung cấp tính năng quản lý chứng chỉ TLS tự động, điều này có nghĩa là các tên miền gian lận hiển thị kết nối HTTPS hợp lệ. Đối với hầu hết người dùng, sự hiện diện của biểu tượng ổ khóa trên thanh địa chỉ trình duyệt là tín hiệu tin cậy chính. Bằng cách khai thác cơ sở hạ tầng này, kẻ tấn công đảm bảo rằng các chỉ báo kỹ thuật về bảo mật không gây ra cảnh báo, buộc người dùng phải dựa vào các manh mối trực giác tinh tế hoặc kiểm tra URL để phát hiện gian lận.

Tại sao điều này quan trọng

Đối với các đội ngũ quản lý phần mềm tự host (self-hosted) hoặc ứng dụng web nội bộ, sự cố này làm nổi bật những hạn chế của các biện pháp phòng thủ biên giới bảo mật truyền thống. Cuộc tấn công không khai thác lỗ hổng trong mã nguồn hoặc cơ sở hạ tầng của nhà hàng; thay vào đó, nó khai thác niềm tin mà người dùng đặt vào kết quả tìm kiếm và các chỉ báo bảo mật của trình duyệt. Các tổ chức vận hành dịch vụ web hướng tới khách hàng phải nhận ra rằng danh tính thương hiệu của họ có thể bị chiếm quyền sử dụng từ bên ngoài mà không cần xâm phạm máy chủ của chính họ. Điều này có nghĩa là giám sát việc giả mạo thương hiệu từ bên ngoài cũng quan trọng như vá các lỗ hổng nội bộ.

Sự tinh vi của cơ chế chèn script cho thấy rằng việc phát hiện bot tự động và các kiểm tra tính toàn vẹn tiêu chuẩn có thể không đủ để chống lại những đối thủ kiên quyết. Kẻ tấn công đặc biệt nhắm mục tiêu và vô hiệu hóa các script có thể tiết lộ vụ gian lận, chẳng hạn như những script chuyển hướng người dùng di động sang ứng dụng chính thức. Đối với các lãnh đạo IT, điều này nhấn mạnh nhu cầu về khả năng hiển thị sâu hơn về cách các script bên thứ ba hoạt động và cách các thực thể bên ngoài có thể thao túng Mô hình Đối tượng Tài liệu (DOM) của các trang web công khai. Nó cũng đặt ra câu hỏi về sự phụ thuộc vào việc cấp phát chứng chỉ tự động mà không có các bước xác thực tên miền bổ sung cho các giao dịch rủi ro cao.

Bạn có thể làm gì

• Giám sát thường xuyên các kho lưu trữ quảng cáo trên công cụ tìm kiếm để phát hiện việc sử dụng trái phép tên thương hiệu của bạn hoặc các tên miền tương tự.
• Triển khai nghiêm ngặt các tiêu đề Content Security Policy (CSP) để hạn chế những script nào được tải và dữ liệu có thể được gửi đi đâu.
• Sử dụng hash subresource integrity (SRI) cho các tệp JavaScript quan trọng để ngăn chặn sự giả mạo hoặc thay thế bởi các proxy.
• Giáo dục khách hàng xác minh chính xác tên miền trên thanh địa chỉ trình duyệt trước khi nhập thông tin thanh toán.
• Thiết lập cảnh báo cho các tên miền mới đăng ký chứa các biến thể của tên thương hiệu hoặc các lỗi chính tả phổ biến.
• Cân nhắc triển khai xác thực mutual TLS hoặc các phương pháp xác minh khách hàng mạnh mẽ khác cho các endpoint API nhạy cảm.