中國黑客入侵了美零售巨頭Staples系統 竄改禮品卡價格

據剛解封的法院文件，中國黑客曾將一筆包含2,000張、每張面值200美元的Staples電子禮品卡訂單，竄改為每張售價一美分，並填入無效的禮品卡號作為付款資料。在沒有實際付款的情況下，總面額達40萬美元的禮品卡訂單繞過了付款及反詐騙攔截，完成交付。

周一（10月19日），獨立數碼科技新聞媒體404 Media報道，一個中國組織犯罪集團入侵了零售巨頭Staples的系統，利用該系統非法發放了價值數百萬美元的禮品卡，這些禮品卡可用於超市Target和美妝連鎖店Sephora等。隨後，該團夥在全美範圍內瘋狂購物，並將大量被盜買的電子產品和其它商品運回中國，這是大規模零售盜竊行動的一部份。

根據上周解封的一份搜查令，2023年10月，美國國土安全調查局（HSI）收到一家辦公用品公司的報告，稱該公司遭到黑客攻擊，並被發放了超過15,000張禮品卡，總價值超過500萬美元。

該文件並未指明是哪間公司，但404 Media根據多條線索確定是文具公司Staples。該媒體由前知名科技媒體Vice / Motherboard的四位資深記者於2023年8月共同創立。

Staples總部位於麻薩諸塞州，使用一家名為Blackhawk Network的公司來處理禮品卡訂單，並且被黑客攻擊的公司擁有一個名為Nexus的內部客戶支持系統。

法庭文件稱，只有公司內部電腦才能訪問Nexus系統，但黑客找到了從外部存取的方法。文件指出，黑客執行了多次堆轉儲請求，這是一種捕獲應用程式在特定時間點記憶體中所有資料的方法。利用回傳的訊息，黑客隨後劫持了已登入的Staples客戶服務代表的會話，從而大規模發放了禮品卡。

比如在2023年10月18日的一筆訂單，訂購了2,000張Staples在Target出售的電子禮品卡，每張面值200美元。犯罪份子竄改了單價，將每張禮品卡的售價改為0.01美元，訂單總金額為20美元。

更絕的是，犯罪份子用禮品卡來支付這筆20美元的交易，其提供的禮品卡號屬於無效。

這些被修改後的訂單卻繞過了「等待付款」等防欺詐系統，得以出貨。這些電子禮品卡隨後被發送到黑客指定的多個電子郵箱帳號。

之後，該團體在美成員前往Target等商店，用這些禮品卡購買電子產品。例如，Target發現，在短短一小時內，新罕布什爾州一家Target超市就有人使用了35張來自Staples黑客攻擊的禮品卡，購買了蘋果、Bose和Powerbeats等品牌的產品。文件顯示，這些購買行為既包括黑客攻擊的禮品卡，也包括其它來源的禮品卡。監視器畫面顯示，四名男子幾乎每天都來店裏購買，而且他們「依序出現，偶爾彼此互動，並與收銀員互動」。

剛解封的搜查令顯示，有多名中國男子在一家位於新罕布什爾州的Target超市使用非法獲取的電子禮品卡購物。（起訴書截圖，美國司法部／大紀元翻攝）

法庭文件顯示，一名身份不明人士通過中國社交媒體平台「微信」，提供給涉案人員這35張禮品卡的卡號及PIN碼，相關對話截圖顯示均使用中文溝通。

剛解封的搜查令顯示，有多名中國男子在一家位於新罕布什爾州的Target超市使用非法獲取的電子禮品卡購物。圖為通過微信傳送的盜取禮品卡卡號及PIN碼。（起訴書截圖，美國司法部／大紀元翻攝）

Target向調查人員提供的數據顯示，有兩天，這些騙子在18個州的85家不同的Target門店使用了3,850張禮品卡，總價值約14.1萬美元。文件顯示，這涉及300筆獨立的交易。

此外，化妝品連鎖店Sephora告訴調查人員，該詐騙團體通過在線兌換了約330張禮品卡，總價值5.86萬美元，共1,500筆交易。同時，家居裝修連鎖店Lowe's也發現了450張詐騙禮品卡，總價值22.6萬美元，這些禮品卡在超過22家Lowe's門市的線上和線下管道均被兌換。

到目前為止，該團夥已使用4,630張被盜禮品卡，造成總價值約42.5萬美元的商品損失。

中國犯罪集團在美詐欺超過1億美元的禮品卡

這類禮品卡盜竊事件在美國層出不窮。司法部曾指出，中國犯罪集團在美詐欺禮品卡的金額已經超過1億美元。

2025年4月，新罕布什爾州法院對3名中國人參與一起精心策劃的禮品卡詐騙案進行宣判。三名被告被判處24到60個月監禁等不同懲罰，並在服刑期滿後被遣返回中國。

美國國稅局刑事調查波士頓辦事處代理負責人德梅奧（Thomas Demeo）在聲明中說，這三名被告是這項國際犯罪計劃中不可或缺的一環，他們負責將中國黑客和詐騙份子非法取得的贓款在美國變現。

根據當時的司法部聲明，中國有組織犯罪集團透過多種詐欺手段已獲取了價值超過1億美元的禮品卡。例如，他們通過入侵美國公司、篡改實體禮品卡以及利用「殺豬盤」（愛情騙局）和老年人詐騙等手段鎖定美國公民來獲取禮品卡數據。然後，犯罪份子透過一個中國境內的即時通訊平台，將這些禮品卡資料發送給在美國活動的多個中國團夥，以換取加密貨幣。

聲明說，一旦美國境內的團夥收到禮品卡數據，他們就會用這些禮品卡購買高價值電子產品，主要是蘋果產品。購買蘋果產品後，團體成員將這些電子產品集中存放於倉庫，然後運往中國大陸、香港或東南亞國家。為了最大化利潤，這些團夥主要在新罕布什爾州等免徵銷售稅的州活動。#