史泰博客服系统遭会话劫持：黑客生成逾1.5万张礼品卡，面值超500万美元

据 IT之家 10 月 21 日援引科技媒体 404 Media 的报道，近期解封的搜查令申请披露，办公用品零售商史泰博（Staples）的内部客户服务系统遭入侵，攻击者借助已登录员工的身份，非法生成超过 1.5 万张礼品卡，总面值超过 500 万美元。美国国土安全调查局（HSI）于 2023 年 10 月获悉此事，相关调查还揭示了礼品卡被用于购买电子产品、再集中转运的链条。

从内存数据到员工身份，攻击瞄准客服业务权限

根据搜查令申请，攻击者从公司外部访问名为 Nexus 的客户服务系统，并多次发起堆内存转储请求。堆转储本是记录应用程序某一时刻内存状态的技术手段，可用于排查故障，但其中也可能包含敏感运行数据。

此次攻击中，黑客利用获取的数据劫持已经登录的客服人员会话，随后以员工认证身份生成礼品卡，并将卡片发送至自己的电子邮箱。其关键并非单纯取得一批静态资料，而是把被盗用的登录状态转化为可执行业务操作的权限。

来源未披露攻击者最初如何获得外部访问能力，也没有说明相关系统的具体漏洞。因此，不能将事件直接归因于密码泄露或某一种软件缺陷；目前明确的攻击环节，是内存数据被获取后，员工会话遭到滥用。

礼品卡兑换跨越多州，生成面值不等于实际损失

调查记录显示，涉案礼品卡随后流入美国多家零售商。在新罕布什尔州一家 Target 门店，35 张相关礼品卡在一小时内被用于购买苹果、Bose 和 Powerbeats 产品。监控显示，多名男子轮流出示手机中的礼品卡，由店员扫描结账。

• Target 识别出 3850 张涉案礼品卡，面值约 14.1 万美元，相关交易在两天内覆盖 18 个州的 85 家门店。
• Sephora 报告约 330 张、价值 5.86 万美元的礼品卡在线上兑换，涉及约 1500 笔交易。
• Lowe’s 发现约 450 张礼品卡涉及 22.6 万美元交易，使用场景包括线上与线下。

综合调查记录，犯罪团伙实际兑换约 4630 张相关礼品卡，总额约 42.5 万美元。需要区分的是，超过 500 万美元是非法生成礼品卡的总面值，并非已确认的实际兑换金额。

安全启示：登录之后的业务操作同样需要防护

这起事件提示企业，身份安全不能只停留在登录入口。攻击者一旦接管有效会话，就可能绕开重新输入凭据的环节，直接使用员工已有权限。对于能够发放礼品卡、退款或调整账户余额的客服系统，业务权限本身就是高价值攻击目标。

从防护角度看，内存诊断接口的访问控制、会话有效期管理，以及高频发卡和异常收件邮箱监测，都值得企业重点审视。对高价值操作增加独立校验，也有助于降低单个员工会话失守后的影响。这些属于基于事件机制的安全解读，并非已披露的史泰博整改措施。

美国司法部 2025 年 4 月公布的另一份案件通报称，相关犯罪网络还通过篡改实体礼品卡和网络诈骗等方式获取卡片数据，再购买高价值电子产品并运往东亚或东南亚。通报涉及的礼品卡总额超过 1 亿美元，但该数字属于更大范围诈骗活动，不能算作此次史泰博入侵的损失。