一伙黑客没有撬开收银台，而是从客服系统的内存里"捞"出了员工身份。他们用这种方式在史泰博（Staples）内部系统里生成了超过1.5万张礼品卡，总面值超过500万美元。

根据近期解封的搜查令申请，攻击者从公司外部访问了史泰博的Nexus客户服务系统，并多次发起堆内存转储请求。堆转储能获取应用程序在某一时刻保存在内存中的数据，攻击者正是利用这些数据劫持了已经登录的客服人员会话。

拿到员工的认证身份后，生成礼品卡这一步就变得顺理成章。卡片被直接发送到攻击者自己的电子邮箱，整个过程绕开了正常的发卡审核。

美国国土安全调查局（HSI）于2023年10月获悉这起事件，当时受害企业报告称，黑客通过其系统非法生成了超过1.5万张礼品卡，面值合计超过500万美元。

这些礼品卡随后出现在美国多家零售商的交易记录里。在新罕布什尔州一家Target门店，35张与此次事件有关的礼品卡在一小时内被用于购买苹果、Bose和Powerbeats产品。监控录像显示，数名男子轮流到收银台出示手机中的礼品卡，让店员扫描后换用其他卡片。Target员工向调查人员表示，这些人几乎每天到店，经常用礼品卡大量购买苹果产品。

其他零售商的数据勾勒出更大的活动范围：

  • Target识别出3850张涉案礼品卡，面值约14.1万美元，两天内在18个州的85家门店完成300笔交易；
  • 丝芙兰（Sephora）报告约330张、价值5.86万美元的礼品卡通过线上交易兑换，涉及约1500笔交易；
  • 劳氏（Lowe's）发现约450张礼品卡涉及22.6万美元交易，使用场景包括线上和线下门店。

综合调查记录，犯罪团伙实际兑换了约4630张与此次入侵有关的礼品卡，总额约42.5万美元，仅占黑客生成的超过500万美元面值的一部分。

美国司法部2025年4月22日公布的另一份案件通报显示，该犯罪网络通过黑客入侵美国企业、篡改实体礼品卡以及针对个人实施网络诈骗等方式获取礼品卡数据，再由美国境内的团伙成员购买高价值电子产品，集中存放后运往东亚或东南亚地区。司法部披露，该网络通过多种欺诈手段获取的礼品卡总额超过1亿美元，但这一数字涉及更大范围的诈骗活动，并非此次史泰博系统入侵造成的损失。

从堆转储到会话劫持，再到礼品卡变现，这条链条上最薄弱的一环不是加密算法，而是一个已经登录、却能被外部请求拖出内存数据的客服系统。