Băng nhóm tội phạm Trung Quốc đánh cắp hơn 5 triệu USD thẻ quà tặng từ hệ thống Staples

Băng nhóm tội phạm Trung Quốc đánh cắp hơn 5 triệu USD thẻ quà tặng từ hệ thống Staples

Nhiều triệu USD tiền thẻ quà tặng đã bị đánh cắp và sau đó được dùng để mua các thiết bị công nghệ giá trị cao tại các nhà bán lẻ như Target, Sephora và Lowe's, sau khi một băng nhóm tội phạm Trung Quốc giành được quyền truy cập vào hệ thống nội bộ của Staples và dùng nó để tự phát hành hơn 15.000 thẻ cho chính họ. Mặc dù vụ hack chưa từng được công bố công khai cho đến nay, một báo cáo từ 404 Media lưu ý rằng sự việc thực thực chất đã diễn ra vào năm 2023.

Trang tin này đã xem xét các hồ sơ tòa án cho thấy Điều tra An ninh Nội địa (HSI) đã được thông báo về vụ hack vào tháng 10 năm đó. Vụ việc chỉ phơi bày ra ánh sáng sau khi dẫn đến một lệnh khám xét được giải mật vào tuần trước. Dù tài liệu không nêu rõ tên Staples là nạn nhân, 404 Media đã xác nhận đây là công ty bị ảnh hưởng dựa trên các thông tin khác. Các thông tin đó bao gồm việc công ty nạn nhân có trụ sở tại Massachusetts, sử dụng dịch vụ của Blackhawk Networks để thực hiện các đơn hàng thẻ quà tặng và sử dụng hệ thống hỗ trợ khách hàng nội bộ mang tên Nexus. Báo cáo lưu ý rằng tham chiếu đến Nexus có thể được tìm thấy trên hồ sơ LinkedIn của một cựu giám đốc điều hành Staples.

Mặc dù Staples tin rằng Nexus không thể bị truy cập từ bên ngoài mạng nội bộ của họ, tin tặc nhận thấy thực tế không phải vậy. Chúng sau đó đã thực hiện nhiều yêu cầu kết xuất bộ nhớ (heap dump), một quá trình thu giữ toàn bộ dữ liệu nằm trong bộ nhớ ứng dụng. Thông tin đó cung cấp cho tin tặc các công cụ cần thiết để cướp quyền các phiên đăng nhập của nhân viên chăm sóc khách hàng Staples. Từ đó, chúng có thể tự do phát hành thẻ quà tặng theo ý muốn.

Một khi các thẻ quà tặng đã được phát hành, nhóm tội phạm đã cử người đến các cửa hàng bán lẻ vật lý để tiêu xài trước khi chúng bị phát hiện và hủy bỏ. Target phát hiện ra rằng 35 thẻ quà tặng đã được sử dụng tại một cửa hàng ở New Hampshire, với các sản phẩm giá trị cao từ Apple, Bose và Beats đều được mua sạch. Cả 35 thẻ đều được sử dụng trong khoảng thời gian chỉ một giờ đồng hồ, mặc dù không phải tất cả số thẻ này đều lấy từ vụ hack này.

Tổng cộng, Target cho biết với các nhà điều tra rằng 3.850 thẻ quà tặng trị giá hơn 140.000 USD đã được sử dụng tại 85 cửa hàng khác nhau chỉ trong hai ngày. Sephora thiệt hại 58.600 USD doanh thu, trong khi Lowe's ghi nhận 226.000 USD được chi tiêu cho cả giao dịch trực tuyến lẫn tại cửa hàng. Tổng cộng, 4.630 thẻ quà tặng bị đánh cắp đã được sử dụng với giá trị khoảng 425.000 USD.

Vụ hack này cũng chỉ là phần nổi của tảng băng chìm. Vào tháng 4 năm ngoái, thông báo từ Bộ Tư pháp Mỹ xác nhận ba công dân Trung Quốc đã bị kết án vì dính líu đến âm mưu lừa đảo thẻ quà tặng. Tính cả vụ hack Staples, nhóm tội phạm này đã đánh cắp hơn 100 triệu USD tiền thẻ quà tặng.

Các nhóm tội phạm có tổ chức của Trung Quốc thường xuyên lọt vào tầm ngắm của cơ quan thực thi pháp luật Mỹ. Đầu năm nay, một dịch vụ lừa đảo trực tuyến (phishing) của Trung Quốc chuyên tạo các trang web giả mạo bằng AI đã bị triệt phá. Dịch vụ này liên quan đến khoản thiệt hại gần 2 tỷ USD.