Por Canuto  

Una red criminal aprovechó el acceso al sistema interno Nexus de Staples para emitir más de 15.000 tarjetas de regalo, con un valor nominal superior a USD $5 millones. Comercios como Target, Sephora y Lowe’s reportaron compras vinculadas a la trama antes de que las tarjetas fueran desactivadas.
***

  • El incidente ocurrió en 2023 y llegó a conocimiento de Homeland Security Investigations en octubre de ese año.
  • Los atacantes aprovecharon solicitudes de extracción de memoria para secuestrar sesiones de empleados y emitir tarjetas desde Nexus.
  • El grupo habría cometido fraude por más de USD $100 millones en tarjetas de regalo, según un anuncio del Departamento de Justicia citado en el reporte.

Una red criminal obtuvo más de USD $5 millones en tarjetas de regalo tras vulnerar Staples

Una brecha en el sistema de atención al cliente

Una red criminal consiguió acceso a Nexus, un sistema interno de atención al cliente de Staples, y lo utilizó para generar más de 15.000 tarjetas de regalo con un valor nominal superior a USD $5 millones. Casi USD $500.000 llegaron a gastarse antes de que las tarjetas fueran desactivadas, en compras que incluyeron equipos tecnológicos y otros productos de alto valor en comercios como Target, Sephora y Lowe’s.

El incidente ocurrió en 2023, aunque no se había hecho público hasta que una orden de registro desclasificada permitió conocer nuevos detalles. Tom’s Hardware informó, a partir de datos reportados por 404 Media, que Homeland Security Investigations (HSI) recibió una alerta sobre el hackeo en octubre de ese año; los documentos judiciales que condujeron a la orden no identificaban por nombre a Staples como la empresa afectada.

La identificación de Staples se apoyó en varios indicios, entre ellos que la compañía tiene sede en Massachusetts, utiliza a Blackhawk Networks para procesar pedidos de tarjetas de regalo y cuenta con un sistema de soporte al cliente llamado Nexus. El reporte también encontró una mención al sistema en el perfil de LinkedIn de un exejecutivo de la empresa, una pieza adicional para asociar la información judicial con la compañía.

Staples consideraba que Nexus no podía consultarse desde fuera de su red, pero los atacantes encontraron una forma de llegar al sistema. El material divulgado describe un caso en el que la frontera entre una herramienta interna y una exposición externa no impidió que terceros accedieran a funciones sensibles, aunque la información disponible no detalla cuánto tiempo permaneció abierta esa posibilidad ni cuántas cuentas quedaron comprometidas.

De la memoria de la aplicación a las tarjetas

Según los documentos descritos en el reporte, los atacantes realizaron varias solicitudes de extracción de memoria, conocidas como heap dumps, que capturan datos almacenados temporalmente por una aplicación. Esa información les permitió secuestrar sesiones ya iniciadas de empleados del servicio al cliente de Staples, una vía que evitó depender únicamente de la creación de credenciales nuevas y facilitó el uso de funciones disponibles para el personal.

Una vez dentro de esas sesiones, el grupo pudo emitir tarjetas de regalo a voluntad, según la reconstrucción de los hechos. La operación convirtió un acceso técnico al sistema de soporte en un mecanismo para producir valor canjeable en comercios, y amplió el alcance del incidente mucho más allá del robo de información de una cuenta individual.

La escala estimada fue de más de 15.000 tarjetas cuyo valor conjunto superaba USD $5 millones, pero esa cifra no equivale al monto que los delincuentes lograron gastar. Staples y las autoridades desactivaron tarjetas antes de que pudieran utilizarse, mientras que la suma consumida antes de esa intervención se acercó a USD $500.000, de acuerdo con los datos reunidos en el reportaje.

Para canjear las tarjetas, el grupo habría enviado a personas conocidas como runners a tiendas físicas, donde podían comprar artículos antes de que los comercios identificaran y bloquearan los códigos. Este método aparece en el relato del caso como una forma de convertir rápidamente tarjetas digitales en mercancía; la información disponible no precisa la identidad de esos compradores ni establece qué proporción de las compras pasó por tiendas físicas frente a canales en línea.

Compras detectadas en varios comercios

Target informó a los investigadores que detectó el uso de 3.850 tarjetas de regalo por un valor superior a USD $140.000 en 85 tiendas, en un periodo de apenas dos días. Esa cifra corresponde al reporte de la cadena sobre tarjetas utilizadas en sus establecimientos y no significa que todas estuvieran vinculadas al hackeo de Staples, una distinción importante para no atribuir a una sola intrusión cada transacción investigada.

Un caso ocurrido en una tienda de New Hampshire llamó la atención por la rapidez de las compras: se utilizaron 35 tarjetas durante aproximadamente una hora para adquirir productos de Apple, Bose y Beats. Target indicó que no todas esas tarjetas procedían del ataque a Staples, por lo que el episodio sirve como ejemplo de cómo se detectó el uso intensivo de tarjetas, pero no permite vincular cada compra con la misma fuente.

Sephora reportó ventas por USD $58.600 asociadas al caso, mientras que Lowe’s registró USD $226.000 en compras en línea y en tiendas. En conjunto, el reporte señala que se gastaron 4.630 tarjetas vinculadas al caso por un valor aproximado de USD $425.000, una suma cercana, aunque inferior, al cálculo de casi USD $500.000 consumidos antes de la desactivación de las tarjetas.

Las cifras de los distintos comercios no deben confundirse con el total de tarjetas emitidas ni con su valor nominal superior a USD $5 millones. Una cifra describe las tarjetas generadas mediante el sistema de Staples, otra recoge lo que los comercios comunicaron a los investigadores y una tercera estima cuánto llegó a gastarse; las diferencias reflejan alcances de medición distintos y no necesariamente una contradicción entre los datos.

Una trama de fraude más amplia

El ataque a Staples habría sido solo una parte de una conspiración de mayor alcance. En abril, un anuncio del Departamento de Justicia confirmó que tres ciudadanos chinos habían sido sentenciados por su papel en una trama de fraude con tarjetas de regalo, y que el grupo criminal habría cometido fraude por más de USD $100 millones en tarjetas, incluido el caso relacionado con Staples.

La información disponible no identifica aquí a los tres sentenciados ni detalla las penas impuestas, por lo que no corresponde atribuirles individualmente cada etapa del acceso a Nexus o cada compra reportada por las cadenas. Lo que sí expone el caso es la conexión que las autoridades establecieron entre el hackeo de Staples y una conspiración de fraude mucho mayor, cuyo valor total supera ampliamente el monto gastado en las tarjetas vinculadas a esta intrusión.

El episodio también muestra por qué el riesgo no termina cuando una empresa protege los datos de pago tradicionales: las tarjetas de regalo pueden funcionar como un instrumento de valor que se emite desde sistemas de atención y después se canjea por bienes. En este caso, la secuencia descrita enlazó acceso a sesiones de empleados, emisión de tarjetas y compras en comercios, mientras la desactivación redujo el monto que el grupo pudo gastar.

Los documentos desclasificados y los reportes de los comercios permiten reconstruir parte de la operación, pero dejan preguntas abiertas sobre el momento exacto en que Staples detectó la intrusión, el número de cuentas afectadas y las medidas adoptadas después del incidente. Sin esos detalles no es posible evaluar con precisión la duración de la brecha ni la respuesta técnica de la compañía; los hechos publicados, no obstante, muestran que una herramienta considerada interna terminó facilitando una emisión masiva de tarjetas.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados