Китайские хакеры взломали Staples и выкрали подарочные карты на миллионы

Китайская преступная группировка взломала офисную сеть Staples и выпустила подарочные карты на сумму более $5 млн — всё это было частью куда более масштабной афёры на сумму свыше $100 млн. Хакеры вели охоту на дорогую электронику, которую потом отправляли в Китай и другие страны Азии.

Как выяснило издание 404 Media на основе рассекреченных судебных документов от октября 2026 года, схема начала работать ещё в октябре 2023-го. Тогда Homeland Security Investigations узнала, что хакеры скомпрометировали систему одной из крупных офисных сетей и сгенерировали более $5 млн поддельных подарочных карт.

Как сработал взлом

Хакеры получили удалённый доступ к внутренней системе поддержки клиентов Staples под названием Nexus, хотя компания считала её защищённой от внешних подключений. Злоумышленники извлекли данные из памяти системы и перехватили активные сеансы сотрудников техподдержки, после чего начали генерировать поддельные подарочные карты и отправлять их на контролируемые ими почтовые ящики.

За период операции хакеры выпустили более 15 тысяч подарочных карт. Члены группировки затем отправлялись в магазины и скупали дорогую электронику — Apple-девайсы, наушники Bose, Powerbeats и прочее ценное железо.

Масштабы убытков

Результаты оказались внушительными. За два дня 3 850 карт на сумму примерно $141 тыс. были потрачены в 85 отделениях Target в 18 штатах. Sephora отследила ещё $58,6 тыс. в потраченных карточках, Lowe's — около $226 тыс.

Напрямую через взлом Staples группировка собрала примерно $425 тыс., но это была только верхушка айсберга. По данным Минюста США, преступная организация в целом нажила свыше $100 млн через взломы, подделку физических подарочных карт и скамы, направленные на американских граждан.

Электроника из магазинов складировалась, а затем отправлялась морским путём в Китай и другие азиатские страны.

Приговоры

В апреле 2025 года трёх китайских граждан приговорили к тюремному заключению за участие в заговоре — сроки колебались от 24 до 60 месяцев.

Сама Staples так и не публично прокомментировала случившееся. Между тем 2026-й год выдался для рынка килобайтов и электроники богатым на инциденты: уже были громкие случаи с компрометацией аккаунтов программы лояльности Chick-fil-A и арестом предполагаемого лидера хакерской группы ShinyHunters.