史泰博遭黑客入侵 员工会话被劫持生成超1.5万张礼品卡

驱动中国10月21日消息，据404 Media报道，办公用品零售商史泰博（Staples）内部客户服务系统遭黑客入侵，攻击者劫持已登录员工会话，生成超过1.5万张礼品卡，面值合计超过500万美元，按现汇率约合3,345.7万元人民币。

近期解封的搜查令申请显示，攻击者从企业外部访问Nexus客户服务系统，并多次发起堆内存转储请求。堆转储可获取应用程序在特定时刻保存在内存中的数据。攻击者利用这些数据劫持客服人员已登录会话，借助员工认证身份生成礼品卡，并将卡片发送至自身电子邮箱。

美国国土安全调查局（HSI）于2023年10月获悉该事件。受害企业报告称，黑客通过其系统非法生成超过1.5万张礼品卡，面值合计超过500万美元。这些礼品卡随后被用于美国多家零售商的购物交易，大量电子产品被集中存放后运往其他国家。

在新罕布什尔州一家Target门店，35张与此次Staples事件有关的礼品卡在一小时内被用于购买苹果、Bose和Powerbeats产品。调查人员查看的监控录像显示，数名男子轮流到收银台出示手机中的礼品卡，让店员扫描后继续使用其他卡片。Target员工向调查人员表示，这些人几乎每天都会到店，并经常使用礼品卡大量购买苹果产品。

其他零售商的交易记录显示相关活动规模。Target识别出3850张涉案礼品卡，面值约14.1万美元；这些卡片在两天内于18个州的85家门店完成300笔交易。Sephora报告称，约330张、价值5.86万美元的礼品卡通过线上交易兑换，涉及约1500笔交易。Lowe's发现约450张礼品卡涉及22.6万美元交易，使用场景包括线上和线下门店。

综合调查记录，犯罪团伙实际兑换约4630张与此次入侵有关的礼品卡，总额约42.5万美元，按现汇率约合284.4万元人民币，仅占黑客生成的超过500万美元礼品卡面值的一部分。