Похищенные подарочные карты на миллионы долларов использовались для покупки дорогой техники в таких сетях, как Target, Sephora и Lowe's, после того как китайская преступная группировка получила доступ к внутренней системе Staples и выпустила себе более 15 000 карт. Публично о взломе до сих пор не сообщалось, однако, по данным издания 404 Media, произошёл он ещё в 2023 году.
Источник изображения — tomshardware.com
Издание изучило судебные документы, из которых следует, что о взломе сообщили в Управление расследований внутренней безопасности (HSI) в октябре того же года. История всплыла после того, как на прошлой неделе был рассекречен связанный с делом ордер на обыск. Хотя в документе Staples прямо не названа жертвой, 404 Media установило, что речь идёт именно об этой компании: пострадавшая фирма зарегистрирована в Массачусетсе, пользуется услугами Blackhawk Networks для выпуска подарочных карт и применяет внутреннюю систему поддержки под названием Nexus, упоминание которой нашлось в профиле бывшего руководителя Staples в LinkedIn.
Staples считала, что к Nexus нельзя подключиться извне корпоративной сети, но злоумышленники доказали обратное. Они выполнили несколько запросов heap dump — выгрузки всех данных из памяти приложения. Полученная информация позволила перехватывать активные сессии сотрудников службы поддержки и после этого выпускать подарочные карты без ограничений.
Как только карты были выпущены, группа отправляла «бегунков» в обычные магазины, чтобы потратить средства до того, как карты вычислят и заблокируют. В одном из магазинов Target в Нью-Гэмпшире по 35 картам всего за один час скупили дорогие товары Apple, Bose и Beats (правда, не все эти карты были получены именно в ходе данного взлома).
В общей сложности, по данным Target, 3850 подарочных карт более чем на $140 000 отоварили в 85 магазинах всего за два дня. Sephora потеряла на этом $58 600, а Lowe's — $226 000 в онлайн- и офлайн-покупках. Итого было использовано 4630 украденных карт примерно на $425 000.
И это лишь вершина айсберга. В апреле прошлого года Министерство юстиции США сообщило, что трое граждан Китая осуждены за участие в мошеннической схеме с подарочными картами. С учётом взлома Staples группировка похитила карт более чем на $100 млн.
Китайские организованные преступные группы регулярно попадают в поле зрения американских правоохранителей. Ранее в этом году был ликвидирован китайский фишинговый сервис, с помощью ИИ генерировавший мошеннические сайты; его связывали с потерями почти на $2 млрд.
