黑客劫持客服会话 空手造出1.5万张礼品卡

不偷密码、不碰支付系统，一群黑客靠“劫持客服会话”就从办公用品零售商史泰博（Staples）的内部系统里“印”出了超过 1.5 万张礼品卡，总面值超过 500 万美元。随着一份联邦搜查令申请上周解封，这起 2023 年的入侵事件细节首次曝光，美国科技媒体 404 Media 率先披露。

搜查令文件显示，史泰博相信其内部客服系统 Nexus 只有公司内网才能访问，但攻击者从外部找到了入口。他们反复发起“堆内存转储”请求——让应用交出某一时刻内存中的全部数据——从中提取已登录客服人员的会话信息，进而冒充这些真实员工的身份，把礼品卡直接发到自己控制的邮箱。

得手的卡片迅速变现。调查记录显示，塔吉特（Target）在两天内于 18 个州的 85 家门店追踪到约 3850 张涉案卡、约 14.1 万美元的交易；丝芙兰约 330 张、5.86 万美元通过线上兑换；劳氏约 450 张、22.6 万美元。累计约 4630 张、42.5 万美元的卡片被实际消费，大部分卡片被史泰博及时作废。

新罕布什尔州一家塔吉特门店的监控录像记录了典型一幕：四名男子轮流到收银台出示手机上的电子礼品卡，一小时内刷掉 35 张，买走苹果、Bose 等产品；店员称这些人“几乎每天都来”。调查人员后来在该州一处仓库查获了价值 800 万美元的 7000 多件苹果产品，大批货物被集中存放后转运海外。

美国司法部此前的通报显示，一个更庞大的礼品卡犯罪网络通过入侵企业、篡改实体卡和网络诈骗等方式，累计获取了超过 1 亿美元的礼品卡，多名涉案人员已被判刑。这起案件也给零售企业提了个醒：安全投入不能只盯着收银台，一个“仅限内网”的客服工具，同样可能成为资金出口。

编译自 404 Media，原标题：“How a Massive Chinese Crime Ring Hacked Staples to Steal Millions”