У меня также на многих сайтах где нет SSL сертификата. После нескольких проверок выяснилось, что подмена происходит на уровне провайдера (Ростелеком).