IT之家10月21日消息，科技媒体404Media昨日报道称，一伙黑客入侵了办公用品零售商史泰博(Staples)的内部客户服务系统，非法生成超过1.5万张礼品卡，总面值超过500万美元。
根据近期解封的搜查令申请，这些礼品卡随后被犯罪团伙用于在美国多家零售商购物，大量电子产品被集中存放后运往其他国家。
根据搜查令申请，攻击者从公司外部访问Nexus客户服务系统，并多次发起堆内存转储请求。堆转储能（885921）够获取应用程序在特定时刻保存在内存中的数据。攻击者利用这些数据劫持已经登录的客服人员会话，借助员工认证身份生成礼品卡，再将卡片发送至自己的电子邮箱。
美国国土安全调查局(HSI)于2023年10月获悉这起事件，当时受害企业报告称，黑客通过其系统非法生成了超过1.5万张礼品卡，面值合计超过500万美元(IT之家注：现汇率约合3,345.7万元人民币)。
这些礼品卡随后被用于美国多家零售商的购物交易。在新罕布什尔州一家Target门店，35张与此次Staples事件有关的礼品卡在一小时内被用于购买苹果（AAPL）、Bose和Powerbeats产品。调查人员查看的监控录像显示，数名男子轮流到收银台出示手机中的礼品卡，让店员扫描后继续使用其他卡片。Target员工还向调查人员表示，这些人几乎每天都会到店，并经常使用礼品卡大量购买苹果（AAPL）产品。
其他零售商的交易记录也显示了相关活动的规模。塔吉特（TGT）(Target)识别出3850张涉案礼品卡，面值约14.1万美元；这些卡片在两天内于18个州的85家门店完成了300笔交易。丝芙兰(Sephora)报告称，约330张、价值5.86万美元的礼品卡通过线上交易兑换，涉及约1500笔交易。劳氏（LOW）(LOWe's)则发现，约450张礼品卡涉及22.6万美元的交易，使用场景包括线上和线下门店。
综合调查记录，犯罪团伙实际兑换了约4630张与此次入侵有关的礼品卡，总额约42.5万美元(现汇率约合284.4万元人民币)，仅占黑客生成的超过500万美元礼品卡面值的一部分。
美国司法部2025年4月22日公布的另一份案件通报显示，该犯罪网络通过黑客入侵美国企业、篡改实体礼品卡以及针对个人实施网络诈骗等方式获取礼品卡数据，再由美国境内的团伙成员购买高价值电子产品，并集中存放后运往东亚或东南亚地区。司法部披露，该网络通过多种欺诈手段获取的礼品卡总额超过1亿美元，但该数字涉及更大范围的诈骗活动，并非此次Staples系统入侵造成的损失。
