史泰博遭黑客入侵：攻击者劫持员工会话生成超1.5万张礼品卡，面值逾500万美元

IT之家 10 月 21 日消息，科技媒体 404 Media 昨日报道称，一伙黑客入侵了办公用品零售商史泰博（Staples）的内部客户服务系统，非法生成超过 1.5 万张礼品卡，总面值超过 500 万美元。

根据近期解封的搜查令申请，这些礼品卡随后被犯罪团伙用于在美国多家零售商购物，大量电子产品被集中存放后运往其他国家。

根据搜查令申请，攻击者从公司外部访问 Nexus 客户服务系统，并多次发起堆内存转储请求。堆转储能够获取应用程序在特定时刻保存在内存中的数据。攻击者利用这些数据劫持已经登录的客服人员会话，借助员工认证身份生成礼品卡，再将卡片发送至自己的电子邮箱。

美国国土安全调查局（HSI）于 2023 年 10 月获悉这起事件，当时受害企业报告称，黑客通过其系统非法生成了超过 1.5 万张礼品卡，面值合计超过 500 万美元 （IT之家注：现汇率约合 3,345.7 万元人民币） 。

这些礼品卡随后被用于美国多家零售商的购物交易。在新罕布什尔州一家 Target 门店，35 张与此次 Staples 事件有关的礼品卡在一小时内被用于购买苹果、Bose 和 Powerbeats 产品。调查人员查看的监控录像显示，数名男子轮流到收银台出示手机中的礼品卡，让店员扫描后继续使用其他卡片。Target 员工还向调查人员表示，这些人几乎每天都会到店，并经常使用礼品卡大量购买苹果产品。

其他零售商的交易记录也显示了相关活动的规模。塔吉特（Target）识别出 3850 张涉案礼品卡，面值约 14.1 万美元；这些卡片在两天内于 18 个州的 85 家门店完成了 300 笔交易。丝芙兰（Sephora）报告称，约 330 张、价值 5.86 万美元的礼品卡通过线上交易兑换，涉及约 1500 笔交易。劳氏（Lowe's）则发现，约 450 张礼品卡涉及 22.6 万美元的交易，使用场景包括线上和线下门店。

综合调查记录，犯罪团伙实际兑换了约 4630 张与此次入侵有关的礼品卡，总额约 42.5 万美元 （现汇率约合 284.4 万元人民币） ，仅占黑客生成的超过 500 万美元礼品卡面值的一部分。

美国司法部 2025 年 4 月 22 日公布的另一份案件通报显示，该犯罪网络通过黑客入侵美国企业、篡改实体礼品卡以及针对个人实施网络诈骗等方式获取礼品卡数据，再由美国境内的团伙成员购买高价值电子产品，并集中存放后运往东亚或东南亚地区。司法部披露，该网络通过多种欺诈手段获取的礼品卡总额超过 1 亿美元，但该数字涉及更大范围的诈骗活动，并非此次 Staples 系统入侵造成的损失。

主题：礼品卡