2023年10月、米国の事務用品大手Staplesの社内システムへの侵入により、1万5,000枚を超えるギフトカードが不正に発行されました。カードの額面は500万ドル（約7億9,000万円）超で、犯罪グループはその一部を小売店での電子製品購入に使いました。関連する事件では、組織犯罪グループが取得したギフトカードは1億ドル（約160億円）を超えています。
社内システムへの侵入からカード発行まで
捜査資料では被害企業名が伏せられていました。本社がマサチューセッツ州にあること、ギフトカード発行にBlackhawk Networkを使うこと、社内の顧客サポートシステムが「Nexus」と呼ばれることなどから、被害企業はStaplesと特定されています。
Nexusには社内のコンピューターからしかアクセスできないと考えられていましたが、侵入者は外部から接続する方法を見つけました。アプリのメモリに保持されたデータを取得する「heap dump」を複数回取得し、その情報を使って、ログイン中のカスタマーサポート担当者のセッションを乗っ取ったとされています。
セッションとは、ログイン後の利用者をウェブサービスが識別するための状態です。侵入者は有効なセッション情報を使い、担当者になりすましてギフトカードを発行しました。カードは侵入者が管理するメールアカウントに送られました。
TargetやSephoraなどでカードを使用
Targetでは、ニューハンプシャー州の店舗で、Staplesへの侵入に由来するギフトカード35枚が1時間のうちにApple、Bose、Powerbeats製品の購入に使われた例がありました。防犯映像には、4人の男性がそれぞれ携帯電話に表示したカードをレジで提示し、次々に購入する様子が記録されていました。
Targetのデータでは、2日間に18州の85店舗で約3,850枚、約14万1,000ドル（約2,200万円）分のカードが使われていました。取引は約300件に上ります。店員は、4人がApple製品を大量に購入するため、ほぼ毎日のように来店していたと説明しました。
Sephoraでは、約330枚、5万8,600ドル（約930万円）分のカードが約1,500件のオンライン取引で使われました。Lowe’sでは、45万枚ではなく450枚、総額22万6,000ドル（約3,600万円）分のカードが22カ所を超える店舗とオンラインで使われました。最終的に、この侵入で発行されたカードのうち4,630枚、約42万5,000ドル（約6,700万円）分が使われました。
ギフトカード詐欺の大規模な仕組み
米司法省によると、中国を拠点とする犯罪組織は、複数の不正な手段で1億ドル（約160億円）を超えるギフトカードを入手していました。手段には、米企業への侵入、実物カードへの細工、恋愛詐欺や高齢者を狙った詐欺が含まれます。
米国内のグループは、暗号資産と引き換えにカード情報を受け取り、主にApple製品などの高額な電子機器を購入していました。購入品は倉庫に集められ、中国、香港、東南アジアの国々へ送られていました。グループは売上税のない州を主な活動場所としていました。
米連邦取引委員会（FTC）によると、2021年の最初の9カ月に消費者が報告したギフトカード詐欺の損失は1億4,800万ドル（約230億円）でした。この9カ月分は、2020年通年の報告額を上回っていました。2021年には、ギフトカードを支払いに使う詐欺について約4万人が被害を報告しました。
関与した3人に禁錮刑
このギフトカード詐欺に関連して、米国で活動した中国籍の3人が詐欺共謀罪で有罪を認め、2025年4月に連邦刑務所への収監を言い渡されました。Naxin Wu被告は33カ月、Mengying Jiang被告は60カ月、Mingdong Chen被告は24カ月の禁錮刑です。3人にはそれぞれ1年間の監督付き釈放も命じられました。
司法省によると、Wu被告は140万ドル（約2億2,000万円）、Jiang被告は300万ドル（約4億7,000万円）、Chen被告は40万ドル（約6,300万円）相当の不正なギフトカードを扱いました。3人はいずれも、カードを割引価格で購入するか、他者に渡して使わせていました。
3人は刑期を終えた後、中国へ強制送還される可能性があります。司法省によると、米国土安全保障調査局、内国歳入庁犯罪捜査部、米国郵便検査局などが捜査に参加しました。
