แก๊งจีนถูกกล่าวหาแฮ็ก Staples สร้างบัตร 5 ล้านดอลลาร์

ข่าวการโจมตีทางไซเบอร์ครั้งใหญ่กำลังสร้างความกังวลให้กับวงการค้าปลีกในสหรัฐฯ หลังมีการเปิดเผยว่า แก๊งจีนถูกกล่าวหาแฮ็ก Staples สร้างบัตร 5 ล้านดอลลาร์ ด้วยการเจาะระบบสนับสนุนลูกค้าภายในของบริษัท เหตุการณ์นี้ไม่ได้เป็นเพียงการขโมยข้อมูลทั่วไป แต่เกี่ยวข้องกับการสร้างบัตรของขวัญปลอมมากกว่า 15,000 ใบ ก่อนนำไปซื้อสินค้าอิเล็กทรอนิกส์ราคาแพงและส่งต่อไปยังต่างประเทศ

ข้อมูลจากเอกสารในชั้นศาลระบุว่า บริษัทค้าปลีกพบความผิดปกติในเดือนตุลาคม 2023 โดยมูลค่าบัตรของขวัญที่ถูกสร้างขึ้นมีมูลค่ารวมประมาณ 5 ล้านดอลลาร์ แม้ระบบตรวจจับการฉ้อโกงจะสามารถปฏิเสธรายการน่าสงสัยได้บางส่วน แต่รายการจำนวนมากยังถูกอนุมัติและส่งมอบให้กับผู้ที่เกี่ยวข้อง

แก๊งจีนถูกกล่าวหาแฮ็ก Staples สร้างบัตร 5 ล้านดอลลาร์

ผู้โจมตีถูกกล่าวหาว่าใช้ช่องโหว่ในระบบสนับสนุนลูกค้าที่มีชื่อว่า Nexus ซึ่งเดิมบริษัทเชื่อว่าสามารถเข้าถึงได้เฉพาะจากเครือข่ายภายในเท่านั้น แฮกเกอร์ใช้คำขอแบบ “heap dump” ซ้ำหลายครั้งเพื่อดึงข้อมูลที่ถูกเก็บไว้ในหน่วยความจำของแอปพลิเคชัน จากนั้นจึงนำข้อมูลดังกล่าวไปยึดหรือเลียนแบบเซสชันของพนักงานฝ่ายบริการลูกค้าที่เข้าสู่ระบบอยู่

เมื่อสามารถปลอมตัวเป็นเจ้าหน้าที่ได้ กลุ่มผู้โจมตีก็เริ่มสร้างคำสั่งซื้อบัตรของขวัญจำนวนมาก หนึ่งในตัวอย่างที่ปรากฏในเอกสารศาลคือคำสั่งซื้อบัตรของขวัญ Target จำนวน 2,000 ใบ ใบละ 200 ดอลลาร์ หรือมีมูลค่ารวม 400,000 ดอลลาร์ แต่ระบบกลับถูกแก้ไขให้คิดเงินเพียงใบละ 0.01 ดอลลาร์ ทำให้ผู้โจมตีจ่ายเงินจริงเพียง 20 ดอลลาร์เท่านั้น

วิธีที่แก๊งจีนถูกกล่าวหาแฮ็ก Staples สร้างบัตร 5 ล้านดอลลาร์

คำสั่งซื้อดังกล่าวยังระบุหมายเลขบัตรของขวัญที่ไม่ถูกต้องเป็นวิธีชำระเงิน ทั้งที่นโยบายของร้านไม่อนุญาตให้ใช้บัตรของขวัญซื้อบัตรของขวัญใบอื่น อย่างไรก็ตาม กลไกตรวจสอบการชำระเงินและระบบป้องกันการฉ้อโกงกลับถูกหลบเลี่ยงได้ บัตรที่สร้างขึ้นจึงถูกส่งไปยังอีเมลซึ่งควบคุมโดยบุคคลภายนอก

บัตรของขวัญที่เกี่ยวข้องมีทั้งของ Target, Lowe’s และ Sephora โดยกลุ่มผู้ต้องสงสัยนำบัตรเหล่านี้ไปใช้ซื้อสินค้าในร้านจริงและช่องทางออนไลน์ สินค้าที่ได้รับความนิยมคือผลิตภัณฑ์ของ Apple รวมถึงอุปกรณ์อิเล็กทรอนิกส์ราคาแพงอื่น ๆ ซึ่งสามารถนำไปขายต่อหรือส่งออกได้ง่าย

มูลค่าความเสียหายและรูปแบบการใช้บัตร

นักสืบสามารถติดตามบัตรของขวัญประมาณ 4,630 ใบ มูลค่ารวมราว 425,000 ดอลลาร์ ไปยังรายการซื้อสินค้าที่เชื่อมโยงกับการแฮ็กครั้งนี้ ข้อมูลจากร้านค้าหลายแห่งแสดงให้เห็นว่าการใช้บัตรไม่ได้เกิดขึ้นเพียงจุดเดียว แต่กระจายไปในหลายรัฐและหลายช่องทาง

• Target: พบการใช้บัตรประมาณ 3,850 ใบ มูลค่า 141,000 ดอลลาร์ ในธุรกรรมราว 300 รายการจาก 85 สาขาใน 18 รัฐ
• Sephora: ตรวจพบการใช้บัตรประมาณ 330 ใบ มูลค่า 58,600 ดอลลาร์ ผ่านธุรกรรมออนไลน์ราว 1,500 รายการ
• Lowe’s: พบบัตรประมาณ 450 ใบ มูลค่า 226,000 ดอลลาร์ ถูกใช้ทั้งทางออนไลน์และหน้าร้านมากกว่า 22 แห่ง

เหตุการณ์หนึ่งเกิดขึ้นที่ร้าน Target ในเมืองเซเลม รัฐนิวแฮมป์เชียร์ โดยมีบัตรของขวัญ 35 ใบที่เชื่อมโยงกับคดีนี้ รวมมูลค่า 7,000 ดอลลาร์ ผู้ใช้บัตรซื้อสินค้า Apple, Bose และ Powerbeats ประมาณ 38 ชิ้น รวมยอดซื้อ 12,356.65 ดอลลาร์ เนื่องจากมีการใช้บัตรจากแหล่งอื่นร่วมด้วย

ภาพจากกล้องวงจรปิดแสดงให้เห็นชาย 4 คนเดินทางมาที่ร้านทีละคน แต่ละคนแสดงบัตรของขวัญบนโทรศัพท์มือถือให้พนักงานสแกน เมื่อบัตรใบหนึ่งถูกใช้จนหมด พวกเขาจะตรวจสอบโทรศัพท์แล้วนำบัตรใบถัดไปออกมา พนักงานยังระบุว่ากลุ่มชายดังกล่าวเป็นลูกค้าที่คุ้นหน้าและมักเดินทางมาซื้อผลิตภัณฑ์ Apple มูลค่าสูงเกือบทุกวัน

เครือข่ายอาชญากรรมออนไลน์และการส่งสินค้าไปต่างประเทศ

คดีนี้สะท้อนปัญหาที่ใหญ่กว่าการโจมตีบริษัทค้าปลีกรายเดียว เพราะเจ้าหน้าที่สหรัฐฯ เชื่อว่าเครือข่ายอาชญากรรมที่ดำเนินงานจากจีนมีส่วนเกี่ยวข้องกับการได้มาซึ่งบัตรของขวัญมูลค่ากว่า 100 ล้านดอลลาร์ วิธีการที่ใช้มีทั้งการแฮ็กบริษัท การดัดแปลงบัตรของขวัญจริง และการหลอกลวงผู้บริโภคผ่านกลโกงทางการเงิน

ข้อมูลบัตรของขวัญถูกส่งต่อให้กลุ่มปฏิบัติการในสหรัฐฯ ผ่านแอปพลิเคชัน WeChat โดยบางกรณีมีการแลกเปลี่ยนเป็นสกุลเงินดิจิทัล กลุ่มผู้รับบัตรจะนำไปซื้อสินค้าอิเล็กทรอนิกส์ โดยเฉพาะผลิตภัณฑ์ Apple จากนั้นรวบรวมสินค้าไว้ในบ้านหรือโกดัง ก่อนส่งไปยังจีน ฮ่องกง และประเทศต่าง ๆ ในเอเชียตะวันออกเฉียงใต้

รัฐนิวแฮมป์เชียร์ซึ่งไม่มีภาษีการขายยังถูกใช้เป็นพื้นที่สำคัญ เพราะช่วยลดต้นทุนและเพิ่มกำไรจากการซื้อสินค้าเป็นจำนวนมาก เจ้าหน้าที่พบว่าผู้ต้องสงสัยบางรายได้รับเงินเพียงประมาณ 10 ดอลลาร์ต่ออุปกรณ์หนึ่งชิ้น หน้าที่ของพวกเขาคือรับหมายเลขบัตร ซื้อสินค้า บรรจุหีบห่อ และนำไปวางไว้หน้าสำนักงานหรือโกดังเพื่อให้คนอื่นมารับ

การสืบสวนและหลักฐานที่เจ้าหน้าที่พบ

ในเดือนธันวาคม 2023 ตำรวจพบชายชื่อ Mingdong Chen ที่ร้าน Walmart ในรัฐนิวแฮมป์เชียร์ ภายในรถ Mercedes สีขาวของเขามี iPad ที่ยังอยู่ในบรรจุภัณฑ์เดิมและถุงของ Target เขายอมรับว่าได้รับหมายเลขบัตรของขวัญจากหัวหน้าที่รู้จักผ่าน WeChat และใช้หมายเลขเหล่านั้นซื้อสินค้า แม้จะสงสัยว่าบัตรอาจถูกขโมยมาก็ตาม

ต่อมาในเดือนมกราคม 2024 เจ้าหน้าที่ค้นอพาร์ตเมนต์ที่ Mengying Jiang และ Naxin Wu ใช้ร่วมกัน พบแล็ปท็อปที่มีโปรแกรมสำหรับกรอกหรือรับหมายเลขบัตรของขวัญ สมุดบันทึกรายการซื้อขาย เงินสดประมาณ 30,000 ดอลลาร์ และผลิตภัณฑ์ Apple จำนวนมาก เจ้าหน้าที่ยังพบ iPhone 35 เครื่องในตู้เสื้อผ้า และอีก 24 เครื่องซ่อนอยู่ในตู้ใต้อ่างล้างหน้า

เจ้าหน้าที่ขนส่งของ UPS ให้ข้อมูลว่าเขานำส่งพัสดุ iPhone ไปยังที่พักแห่งนี้ประมาณสัปดาห์ละ 4 ครั้ง ขณะที่การค้นโกดังของ Jin Bin Ren ในเมืองเซเลมพบอุปกรณ์อิเล็กทรอนิกส์มากกว่า 7,000 ชิ้น รวมถึงสินค้า Apple เครื่องพิมพ์ คอมพิวเตอร์ เครื่องเล่นเกม หูฟัง ใบเสร็จ ป้ายจัดส่งไปจีน และเงินสดประมาณ 10,000 ดอลลาร์

กระทรวงยุติธรรมสหรัฐฯ ระบุว่า Wu อาจเกี่ยวข้องกับบัตรของขวัญปลอมมูลค่า 1.4 ล้านดอลลาร์ Jiang เกี่ยวข้องกับมูลค่า 3 ล้านดอลลาร์ และ Chen เกี่ยวข้องกับมูลค่า 400,000 ดอลลาร์ หลักฐานเหล่านี้ช่วยให้เห็นภาพว่าเครือข่ายดังกล่าวมีการแบ่งหน้าที่ตั้งแต่การรับบัตร การซื้อสินค้า การรวบรวมสินค้า ไปจนถึงการส่งออก

บทเรียนด้านความปลอดภัยสำหรับธุรกิจและผู้บริโภค

กรณี แก๊งจีนถูกกล่าวหาแฮ็ก Staples สร้างบัตร 5 ล้านดอลลาร์ แสดงให้เห็นว่าองค์กรไม่ควรปกป้องเพียงระบบชำระเงินหรือฐานข้อมูลลูกค้าเท่านั้น แต่ต้องดูแลระบบสนับสนุนภายในและสิทธิ์ของพนักงานอย่างเข้มงวดด้วย การตรวจสอบคำขอผิดปกติ การจำกัดการเข้าถึงข้อมูลในหน่วยความจำ การยืนยันตัวตนหลายชั้น และการตรวจสอบคำสั่งซื้อที่มีมูลค่าสูง ควรทำงานร่วมกันแบบเรียลไทม์

สำหรับผู้บริโภค ควรหลีกเลี่ยงการซื้อบัตรของขวัญจากแหล่งที่ไม่น่าเชื่อถือ ไม่เผยแพร่รหัสบัตรหรือภาพบัตรผ่านแชต และรีบติดต่อร้านค้าทันทีหากพบรายการใช้เงินที่ไม่รู้จัก ขณะที่ร้านค้าควรฝึกอบรมพนักงานให้สังเกตพฤติกรรมการซื้อซ้ำจำนวนมาก การใช้บัตรหลายใบติดต่อกัน และการเปลี่ยนสินค้าเป็นบัตรใหม่

เหตุการณ์นี้เป็นเครื่องเตือนใจว่าอาชญากรรมไซเบอร์ในปัจจุบันเชื่อมโยงกับการขนส่ง การฟอกเงิน และตลาดสินค้ามือสองอย่างเป็นระบบ ธุรกิจที่มองว่าบัตรของขวัญเป็นเพียงสินค้าประเภทหนึ่งอาจประเมินความเสี่ยงต่ำเกินไป การลงทุนในระบบรักษาความปลอดภัยและการตรวจสอบธุรกรรมจึงไม่ใช่ค่าใช้จ่ายส่วนเกิน แต่เป็นเกราะป้องกันความเสียหายที่อาจมีมูลค่าหลายล้านดอลลาร์

ในมุมมองของผู้เขียน คดีนี้ควรผลักดันให้บริษัทค้าปลีกยกระดับการตรวจสอบตั้งแต่การสร้างบัตรไปจนถึงการส่งมอบสินค้า เพราะเมื่อช่องโหว่หนึ่งถูกเชื่อมต่อกับเครือข่ายอาชญากรรม ความเสียหายสามารถขยายตัวได้รวดเร็ว ผู้ประกอบการและผู้บริโภคจึงควรร่วมกันเพิ่มความระมัดระวังตั้งแต่วันนี้

ที่มา – Chinese Crime Ring Allegedly Hacked Staples to Mint $5 Million in Gift Cards