据 404 Media 报道，一个中国犯罪团伙入侵了办公用品零售商 Staples（史泰博）的内部系统，非法发放了超过 15,000 张礼品卡。这些总价值数百万美元的礼品卡随后被用于在 Target、Sephora 和 Lowe's 等零售渠道购买高价值科技产品。尽管该事件直到上周因搜查令的发出才被公开披露，但实际发生时间为 2023 年。
攻击路径与内部系统漏洞
法庭记录显示，美国国土安全调查局 (HSI) 于 2023 年 10 月首次获知此次黑客攻击。虽然文件未直接点名受害者为 Staples，但线索指向总部位于马萨诸塞州且使用 Nexus 网络处理礼品卡订单的公司。Staples 前高管的 LinkedIn 资料中曾提及 Nexus，证实了这一关联。
尽管 Staples 认为其内部系统 Nexus 无法从外部网络访问，但攻击者发现事实并非如此。黑客通过执行多个堆请求（Heap Requests），捕获应用程序内存中的所有数据。这一技术手段使攻击者得以劫持 Staples 客户服务员工的登录会话，从而获得随意发放礼品卡的权限。
资金流向与消费规模
犯罪集团派遣人员前往实体零售店消费被盗礼品卡。调查显示，Target 在新罕布什尔州的一家门店内，有 35 张礼品卡在短短一小时内被全部使用。Target 向调查人员透露，在两天内共有 3,850 张礼品卡被消费，涉及 85 家不同门店，金额超过 14 万美元。
其他零售商也遭受了显著损失：Sephora 记录了 5.86 万美元的销售额损失；Lowe's 在线及店内消费的总金额达到 22.6 万美元。综合统计，共有 4,630 张被盗礼品卡被成功使用，涉及金额约为 42.5 万美元。
背景：针对美国的礼品卡欺诈活动
此次对 Staples 的攻击仅是更大规模犯罪网络的一部分。去年 4 月，美国司法部公告称，三名中国公民因参与一起窃取价值超过 1 亿美元礼品卡的欺诈阴谋而被判刑。
近年来，中国有组织犯罪集团频繁出现在美国执法部门的监控视野中。今年早些时候，一个利用人工智能创建诈骗网站的中国网络钓鱼服务被取缔，该服务与近 20 亿美元的损失有关。
