[phishing] liefsmarjolein.nl en sanandreaspc.nl

[Jazco2nd]

Vanavond ben ik uren op zoek geweest naar een specifieke North Face jas met specifieke kleur en maat. Een half uur gestopt, toen weer begonnen. Ik weet heel goed hoe cookies en fingerprinting werkt, ben heel bekend met online advertising (werk). Maar wat ik nu meemaak is voor mij verassend.

Bij de 2e zoekpoging in Google duiken plotseling 2 sites op die voorheen niet in zoekresultaten voorkwamen (eerste 30).

http://www.liefsmarjolein.nl/

http://www.sanandreaspc.nl/

Waarom ik het verdacht vind:

• De domeinnamen zijn verdacht, lijken op heel oude domeinen die allang niet meer werden onderhouden en wellicht is de domain host ooit jaren geleden gehackt.
• De sites claimen van The North Face te zijn, echter verwijzen koppelingen naar The North Face naar het domein van de verdachte site zelf.
• De logo's van internet security en credit card maatschappijen lijken nep, alle logo's bij elkaar zijn 1 image, non-clickable.
• Het design en de layout van de page roepen op zijn minst vragen op.
• Last but not least: ze hebben elke North Face jas, in álle(!) maten en alle kleuren. Dat is simpelweg onmogelijk voor een retailer.

.

Wat mij echt doet verbazen:
Ik weet heel goed hoe retargeting werkt en ik ben er niet tegen. Ik heb als test cookies gewist en met uBlock Origin (voor het gemak) opnieuw gesurft en kwam weer beide sites tegen in Google Search.
Ik kan me daarom niet voorstellen dat deze sites on-the-fly gegenereerd worden op basis van mijn zoekgedrag. Het zou technisch kunnen (personaliseren van je site content obv cookies of een id doen veel partijen, maar veel minder opvallend, Center Parcs laat bijv een familiebungelow zien ipv 2pers bungelow als ze weten dat je een gezin hebt omdat je dat ooit heb opgegeven) maar dat is niet wat hier gebeurd.

Nu kan ik natuurlijk gewoon met mijn creditcard de aankoop doen, via creditcard zijn je aankopen immers gedekt. Maar ik ben toch benieuwd of hier security/phishing experts zijn die wat licht op deze sites kunnen schijnen?

[Tsurany]

Hier hoef je geen expert voor te zijn. Sites voldoen niet aan de normale eisen waar een webshop aan moet voldoen. Contactinformatie ontbreekt evenals eender welke informatie dan ook. Enkel een bestelmodule. Natuurlijk is dat een scam.

[Trommelrem]

Is je vraag hoe je de sites offline haalt?

Moet je niet zelf willen doen, maar het is wel zo netjes om de originele merken op de hoogte te brengen van deze sites. Laat hun juridische afdeling het maar oplossen.

[Jazco2nd]

Er is wel een contactformulier.
Als ik niet dacht dat het een scam was had ik gewoon de jas gekocht en niet gepost hier

Ik vraag me vooral af hoe deze site is ontstaan en post natuurlijk ook om anderen te waarschuwen. Sowieso heb ik al via Google's security page beide sites gemeld als mogelijke phishing sites.


Whois:

code:

Domain name: sanandreaspc.nl
Status: active

Registrar:
Registrar.eu
Willem Buytewechstraat 40
3024BN ROTTERDAM
Netherlands

DNSSEC: no

Domain nameservers:
ns1.openprovider.nl
ns2.openprovider.be
ns3.openprovider.eu

Record maintained by: NL Domain Registry

As the registrant's address is not in the Netherlands, the registrant is
obliged by the General Terms and Conditions for .nl Registrants to use
SIDN's registered office address as a domicile address. More information
on the use of a domicile address may be found at http://sidn.nl

code:

Domain name: liefsmarjolein.nl
Status:      active
Registrar:
   1API Gmbh
   Talstrasse 27
   Germany
DNSSEC:      no
Domain nameservers:
   f1g1ns1.dnspod.net
   f1g1ns2.dnspod.net
Record maintained by: NL Domain Registry
As the registrant's address is not in the Netherlands, the registrant is
obliged by the General Terms and Conditions for .nl Registrants to use
SIDN's registered office address as a domicile address. More information
on the use of a domicile address may be found at http://sidn.nl

[DJMaze]

Iemand een jaar geleden een blog begonnen
https://www.secure.versio.nl/3781-link_werkt_niet_
https://web.archive.org/w...://www.liefsmarjolein.nl/
https://www.facebook.com/liefsmarjolein/

Verhuist naar Facebook en vervolgens laten verlopen

[incaz]

Misschien kun je ook nog contact opnemen met North Face zelf? Ik krijg ook North Face en denk dus dat het eerder een illegale North Face kloon is die toevallig omhoog kwam omdat je op North Face zocht, dan een pagina die zich aanpast aan wat je zoekt.

(Dergelijke clones zijn er meer, Nike heb ik ook al vaker op zien duiken. Misschien heeft LiefsMarjolein haar WP gewoon nooit meer geupdate en heeft men daardoor het domein kunnen hijacken?)

[Zenety]

http://www.sanandreaspc.nl/shippinginfo.html

Mooie google translate over de pagina heen gegooit.

Hope kon je ingelogd en orde understand.Welcome van onze website.

Beiden websites zien er inderdaad totaal niet legit uit. Helaas lastig om dit soort websites daadwerkelijk offline te laten halen.

[ Voor 21% gewijzigd door Zenety op 11-12-2015 09:36 ]

[Jazco2nd]

Just FYI ik heb 2 emails van North Face gehad, ze bevestigen dat het geen partners van hun zijn en in de 2e email wordt phishing bevestigd en geven ze aan dat hun legal team is notified.

Schijnt wel vaker te gebeuren dit.