Staples: Sicherheitsvorfall
Chinesische Hacker fälschen Geschenkkarten im Wert von 5 Millionen USD.

Chinesische Angreifer haben im Oktober 2023 das interne Kundensupport-System Nexus von Staples kompromittiert und damit mehr als 15.000 Geschenkkarten im Wert von rund 5 Millionen US-Dollar erzeugt hatten. Die Ermittler erfuhren davon, nachdem das Unternehmen den Vorfall gemeldet hatte. Das Magazin 404 Media identifizierte Staples anhand von Hinweisen in einem Gerichtsdokument, vom 1. Oktober 2024, das den Namen des Unternehmens nicht nennt.

Das System galt nach Einschätzung von Staples als nur aus dem internen Netzwerk erreichbar. Die mutmaßlichen Täter fanden dennoch einen Zugang. Mit wiederholten „Heap-Dump“-Anfragen lasen sie Informationen aus dem Arbeitsspeicher der Anwendung aus. Damit übernahmen oder imitierten sie Sitzungen angemeldeter Kundendienstmitarbeiter und legten betrügerische Geschenkkartenbestellungen an.

Das Betrugserkennungssystem Kount markierte und lehnte zwar einige verdächtige Bestellungen ab, viele blieben jedoch zur Auslieferung vorgemerkt. In einem Beispiel wurde eine Bestellung über 2.000 Target-Geschenkkarten mit je 200 US-Dollar Guthaben so manipuliert, dass jede Karte nur 0,01 US-Dollar kostete. Die Kosten sanken damit von 400.000 US-Dollar auf 20 US-Dollar. Als Zahlungsmittel diente eine ungültige Geschenkkartennummer, obwohl der Händler den Kauf von Geschenkkarten mit anderen Geschenkkarten nicht erlaubte. Zahlungs- und Betrugssperren wurden umgangen, die Karten gingen an E-Mail-Konten der Täter. Betroffen waren Karten von Target, Lowe's und Sephora.

Ermittler ordneten etwa 4.630 Karten im Wert von rund 425.000 US-Dollar Einkäufen zu. Target meldete rund 3.850 eingelöste Karten über 141.000 US-Dollar in 300 Transaktionen in 85 Filialen in 18 Bundesstaaten binnen zwei Tagen. Sephora nannte etwa 330 Karten über 58.600 US-Dollar, Lowe's etwa 450 Karten über 226.000 US-Dollar. Überwachungsvideos zeigten Männer, die Karten auf ihren Smartphones vorzeigten und vor allem Apple-Produkte kauften. Nicht verfügbare Ware kauften sie teils und gaben sie gegen neue Geschenkkarten zurück.

Nach Angaben des US-Justizministeriums ist der Fall Teil eines größeren Betrugsnetzwerks aus China, das Geschenkkarten im Wert von weit über 100 Millionen US-Dollar erlangte, unter anderem durch Hacking von US-Unternehmen, manipulierte physische Karten und Betrugsmaschen wie „Pig Butchering“. Kartendaten wurden über WeChat gegen Kryptowährung an Gruppen in den USA weitergegeben. Diese kauften Elektronik, vor allem Apple-Produkte, und verschifften sie über Lager nach China, Hongkong und Südostasien. Bei Durchsuchungen im Januar 2024 fanden die Ermittler unter anderem rund 30.000 US-Dollar Bargeld, Notizbücher und große Mengen Apple-Produkte. In einem Lager in Salem lagerten mehr als 7.000 originalverpackte Elektronikartikel. Das Justizministerium ordnete Wu 1,4 Millionen, Jiang 3 Millionen und Chen 400.000 US-Dollar betrügerischer Karten zu.