IT之家 10 月 21 日消息，科技媒体 404 Media 于昨日披露，一群黑客侵入了办公用品企业史泰博（Staples）的内部客服系统，违规制造了超过 1.5 万张礼品卡，总金额高达 500 万美元以上。
依据近期解封的搜查令申请，这些礼品卡随后被犯罪团伙用于在全美多家零售商处进行消费，大量电子产品被集中储存后转运至境外。
搜查令文件显示，攻击者从外部网络访问了 Nexus 客服系统，并反复提交了堆内存转储请求。堆转储操作能捕获应用程序在某个时间点存储于内存中的数据。攻击者凭借这些信息劫持了已登录客服人员的会话，利用员工的认证身份生成礼品卡，并将卡片发送到自己的电子邮箱。
美国国土安全调查局（HSI）于 2023 年 10 月获悉此事，当时受害企业报告称，黑客通过其系统非法生成了超过 1.5 万张礼品卡，总价值超过 500 万美元（IT之家注：按当前汇率约合 3,345.7 万元人民币）。
这些礼品卡随后被用于在美国多家零售商的购买行为中。在新罕布什尔州的一家 Target 门店，35 张与本次史泰博事件相关的礼品卡在一小时内被用于购买苹果、Bose 和 Powerbeats 产品。调查人员查看的监控视频显示，多名男子轮流走到收银台，出示手机中的礼品卡让店员扫描，然后继续使用其他卡片。Target 员工还向调查人员反映，这些人几乎每天都会光顾，并经常用礼品卡大量采购苹果产品。
其他零售商的交易记录也揭示了相关活动的规模。塔吉特（Target）识别出 3850 张涉案礼品卡，面值约 14.1 万美元；这些卡片在两天内于 18 个州的 85 家门店完成了 300 笔交易。丝芙兰（Sephora）报告称，约 330 张、价值 5.86 万美元的礼品卡通过线上交易兑换，涉及约 1500 笔交易。劳氏（Lowe's）则发现，约 450 张礼品卡涉及 22.6 万美元的交易，使用场景涵盖线上和线下门店。
综合调查记录，犯罪团伙实际兑换了约 4630 张与此次入侵相关的礼品卡，总额约 42.5 万美元（按当前汇率约合 284.4 万元人民币），仅占黑客生成的超过 500 万美元礼品卡面值的一小部分。
美国司法部 2025 年 4 月 22 日发布的另一份案件通报显示，该犯罪网络通过黑客入侵美国企业、篡改实体礼品卡以及针对个人实施网络诈骗等方式获取礼品卡数据，再由美国境内的团伙成员购买高价值电子产品，并集中存放后运往东亚或东南亚地区。司法部披露，该网络通过多种欺诈手段获取的礼品卡总额超过 1 亿美元，但该数字涉及更大范围的诈骗活动，并非此次史泰博系统入侵造成的损失。
相关阅读：
《打击礼品卡诈骗：苹果 iOS 27 最新代码曝光，买完卡碰一碰 iPhone 立马兑换》
《苹果礼品卡全球诈骗案告破：犯罪团伙窃取兑换码后重新封装，全美前 20 大零售商均遭波及》
《Valve 为遏制诈骗，宣布零售商店不再补货 Steam 实体礼品卡》
《涉案金额达数亿美元，美国警方侦破苹果礼品卡特大诈骗案》