ハッカーが企業のシステムに侵入して8億円分のギフトカードを不正発行、全米の店舗で高額商品を買いあさっていたことが判明

How a Massive Chinese Crime Ring Hacked Staples to Steal Millions
https://www.404media.co/how-a-massive-chinese-crime-ring-hacked-staples-to-steal-millions/

2023年10月、アメリカ国土安全保障捜査局(HSI)はオフィス用品販売企業から「ハッカーによって1万5000枚以上のギフトカードが不正発行され、総額が500万ドルを超えた」という情報を受け取りました。2026年10月に公開された捜索令状の申請書には被害企業の名前が記載されていませんでしたが、404 Mediaは申請書に含まれる情報から被害企業がステープルズであると特定しました。

ステープルズはギフトカードの発行・処理にBlackhawk Networkのサービスを利用しており、社内では「Nexus」という顧客サポートシステムを運用していました。404 Mediaによると、捜索令状に記載された本社所在地やシステムの名称がステープルズの情報と一致していたそう。

by Anthony92931

顧客サポートシステムは問い合わせへの対応などに使われるもので、担当者が顧客に対してギフトカードを発行する場合もあります。ステープルズはNexusに社内のコンピューターからしかアクセスできないと考えていましたが、ハッカーは外部からシステムに接続する方法を発見したとのこと。

ハッカーは侵入後に「ヒープダンプ」と呼ばれる操作を繰り返しました。ヒープダンプはプログラムが動作中にメモリ上に保持しているデータを取り出す仕組みで、システムの不具合を調査する際などに使われます。

犯罪組織はヒープダンプによって取得した情報を使い、ログイン中の顧客サポート担当者になりすましてシステムを操作しました。担当者になりすますことでギフトカードを大量に発行し、犯罪組織が管理するメールアドレスに送信していたとのこと。

不正発行されたギフトカードはTarget(ターゲット)やSephora(セフォラ)などの小売店で使われました。ニューハンプシャー州のターゲットでは1時間のうちに35枚のギフトカードが使用され、AppleやBose、Powerbeatsなどの製品が購入されたことが確認されています。

店舗の監視カメラには4人の男性が次々とレジを訪れ、スマートフォンに表示した電子ギフトカードを店員に読み取らせる様子が記録されていました。男性らはギフトカードを使い切るまでスマートフォンの画面を切り替えながら購入を繰り返していたそうです。

ターゲットの従業員によると、男性らはほぼ毎日のように来店し、ギフトカードでApple製品を大量購入していたとのこと。また、購入されたApple製品の多くが中国へ送られていたことも判明しています。

犯罪組織による買い物は全米規模に広がっており、ターゲットが捜査当局に提供した記録によるとわずか2日間で18州にある85店舗で計3850枚のギフトカードが使用され、購入額は約14万1000ドル(約2300万円)に達していました。取引件数は300件に上るとのこと。

また、セフォラでは約330枚のギフトカードを使ったオンライン購入が確認され、利用額は約5万8600ドル(約940万円)でした。またホームセンター大手のLowe's(ロウズ)でも22カ所以上の店舗やオンラインショップで約450枚のギフトカードが使用され、約22万6000ドル(約3600万円)相当の商品が購入されていました。

捜査資料によると、ステープルズへのハッキングで不正発行されたギフトカードのうち、実際に使用されたのは4630枚で総額は約42万5000ドル(約6800万円)だったとのこと。なお、アメリカ司法省は2025年4月、ギフトカード詐欺に関与した中国籍の3人に禁錮2年～5年の判決が下されたことを発表しています。3人は不正に入手されたギフトカードを使ってApple製品を購入し、中国へ輸出する犯罪組織の一員だったとのことです。