InfoHawk раскрыла кампанию Scamwich, в рамках которой подозрительные сайты имитировали онлайн-заказ крупных американских ресторанных сетей. За два прохода исследователи нашли 820 доменов, связанных с 35 брендами, включая Jersey Mike’s, Jimmy John’s, Firehouse Subs, Chipotle и Dave’s Hot Chicken. Из них 808 использовали зону .delivery, остальные — .com или .shop.
Главная особенность схемы — убедительная имитация. Сайт работал как reverse proxy: показывал посетителю актуальные страницы, меню, цены и корзину настоящего ресторана, но заменял этап оплаты собственной формой. Поэтому взламывать инфраструктуру самой сети было не нужно. Пользователь видел знакомый процесс заказа и сталкивался с подделкой только в момент ввода платёжных данных.
Фальшивая форма собирала реквизиты карты, имя и телефон, а затем могла запросить одноразовый код из SMS банка или подтверждение в банковском приложении. По оценке исследователей, оператор в реальном времени использовал похищенные сведения для платежа и проходил проверку 3-D Secure с помощью жертвы. Настоящий заказ в ресторан не поступал: после завершения операции пользователя перенаправляли на другой настоящий сайт сети.
Для привлечения жертв применялись поисковые объявления Google. В рекламном архиве InfoHawk нашла не менее 47 текстовых объявлений, показанных с 7 июля по 20 октября 2026 года как минимум от 46 рекламных аккаунтов. Они использовали не менее 43 внешне несвязанных названий компаний и обычно работали от одного до четырёх дней. К началу ноября проверенные объявления уже отображались как удалённые.
На 4 ноября 367 из 820 доменов всё ещё отдавали сайт. Большинство ресурсов скрывали инфраструктуру за Cloudflare; 761 домен использовал её nameservers. Отдельная группа из 68 доменов была связана с сервером AWS и похожим комплектом клонирования, но исследователи не нашли доказательств, что ею управляли те же люди.
InfoHawk советует ресторанным брендам и провайдерам заказов отслеживать загрузку своих страниц под чужими доменами и сессии оформления, которые не доходят до настоящего платёжного провайдера. Поскольку прокси получает контент у настоящего сайта, его серверы способны заметить такую активность на ранней стадии.