Fraude aux cartes-cadeaux chez Staples : l’outil « interne » était joignable d’Internet
Plus de 15 000 cartes-cadeaux, d’une valeur de plus de 5 millions de dollars US, émises par les propres outils d’un détaillant, puis dépensées chez Target, Sephora et Lowe’s. C’est ce que décrit un mandat de perquisition américain rendu public ce mois-ci et analysé par 404 Media. Le document ne nomme pas l’entreprise, mais 404 Media l’a identifiée comme Staples. Staples n’a pas répondu aux demandes de commentaires.
Ce cas de fraude aux cartes-cadeaux ne vise pas que les grandes chaînes. Le point de départ, c’est un outil « interne » qui ne l’était pas vraiment. Et des outils comme celui-là, beaucoup de PME en ont : portail d’administration, CRM, outil de service à la clientèle, pages de diagnostic oubliées.
Ce qui s’est passé, maillon par maillon
Selon le mandat, les attaquants ont atteint de l’extérieur Nexus, une application de service à la clientèle que l’entreprise croyait accessible seulement depuis son réseau. Les enquêteurs de Homeland Security Investigations ont été informés en octobre 2023. Les événements datent donc de 2023, mais ils viennent seulement d’être rendus publics.
1
Un outil « interne » exposé
Nexus, l’application de service à la clientèle, était joignable de l’extérieur alors que l’entreprise la croyait réservée à son réseau.
2
Des vidages de mémoire
Les attaquants ont lancé plusieurs requêtes « heap dump », qui copient ce que l’application garde en mémoire.
3
Des sessions détournées
Dans ces données : de quoi reprendre les sessions d’agents du service à la clientèle déjà connectés.
4
Des cartes émises
Plus de 15 000 cartes-cadeaux créées et envoyées à des adresses courriel contrôlées par les attaquants.
5
Des alertes contournées
L’outil antifraude Kount a refusé certaines commandes, mais plusieurs ont quand même été marquées pour exécution.
6
Des achats en magasin
Cartes affichées sur un téléphone et balayées à la caisse, surtout pour des produits électroniques.
Un détail compte : le document explique comment les attaquants sont passés de la mémoire de l’application aux sessions des employés, mais il ne dit pas comment ils ont obtenu l’accès externe au départ. Le reste de la chaîne, lui, est très clair.
Fraude aux cartes-cadeaux : une commande qui n’aurait jamais dû passer
Gizmodo rapporte un exemple de commande tiré du mandat. Lisez-la comme le ferait une règle antifraude :
COMMANDE INTERNE
exemple décrit dans le mandat de perquisition
Trois signaux qui auraient dû bloquer la commande
1Le volume : 2 000 cartes dans une seule commande passée par un agent du service à la clientèle.
2Le montant : des cartes de 200 dollars US facturées un cent chacune.
3Le paiement : un numéro de carte-cadeau invalide, alors que payer des cartes-cadeaux avec une carte-cadeau n’était pas permis.
Le système antifraude Kount a bien signalé et refusé certaines commandes. Mais plusieurs ont quand même été marquées pour exécution, et les blocages de paiement et de fraude ont été contournés. Une alerte qui ne bloque rien et que personne ne traite n’est qu’un journal de plus.
Où sont allées les cartes
Cartes de la fraude Staples dépensées, selon les détaillants (en dollars US)
450 cartes, en ligne et dans plus de 22 magasins
3 850 cartes, 300 transactions, 85 magasins, 18 États, en deux jours
environ 330 cartes, 1 500 transactions en ligne
Au total, environ 4 630 cartes utilisées, pour environ 425 000 dollars US : une fraction des plus de 5 millions de dollars US émis. Source : TechSpot, d’après le mandat publié par 404 Media.
Dans un Target du New Hampshire, 35 cartes liées à l’attaque ont été utilisées en une heure pour acheter des produits Apple, Bose et Powerbeats. Le réseau plus large, lié au même stratagème, aurait obtenu plus de 100 millions de dollars US en cartes-cadeaux selon le département de la Justice américain, qui a annoncé en avril les peines de trois ressortissants chinois.
La leçon pour une PME : vos outils « internes » le sont-ils vraiment?
Vous ne vendez peut-être pas de cartes-cadeaux. Mais votre boutique en ligne émet des codes promo, votre CRM peut créer des crédits, votre logiciel de facturation peut annuler une facture. Chaque outil capable de créer de la valeur mérite les mêmes questions.
Le détournement de session n’est pas propre à Staples. Nous avons vu le même principe dans le vol de sessions Microsoft 365 : une session déjà validée vaut un mot de passe et une MFA. Et le piratage d’ASOS montrait déjà que les outils de communication avec la clientèle sont une cible de choix.
Cinq vérifications à faire cette semaine
Pour chaque outil qui peut créer de la valeur (crédits, remboursements, codes, cartes) :
- ☐ Vérifier de l’extérieur ce qui répond vraiment : portails, pages d’administration, adresses de diagnostic. Ce qui n’a pas besoin d’être public passe derrière un VPN ou une liste d’adresses IP.
- ☐ Désactiver en production les fonctions de débogage et de vidage de mémoire, ou les protéger par authentification.
- ☐ Exiger une nouvelle authentification avant une action sensible et raccourcir la durée des sessions.
- ☐ Fixer des plafonds par employé et une double approbation au-delà d’un seuil, pour les cartes, crédits et remboursements.
- ☐ S’assurer que chaque alerte de fraude ou de sécurité arrive à une personne qui agit, pas seulement dans un journal.
❔ Ce qu’on ne sait pas encore
Le mandat n’établit pas comment les attaquants ont obtenu l’accès externe à Nexus, et Staples n’a pas commenté. Nous éviterons donc de conclure sur la cause première. La leçon, elle, tient déjà : un outil cru interne doit être vérifié de l’extérieur.
Ce dernier point, c’est souvent le maillon faible des PME : les alertes existent, mais personne ne les lit le soir ou la fin de semaine. Notre surveillance automatisée 24/7 avec intervention du technicien de garde fait le lien entre l’alerte et le geste, et nos services de cybersécurité commencent par la liste de ce que votre entreprise expose vraiment sur Internet. Si vous hébergez une boutique, posez aussi à votre hébergeur les bonnes questions de sécurité.
Réservez votre Bilan cyber gratuit
Vous n’êtes pas certain de ce que vos outils exposent sur Internet, ni de qui peut émettre un crédit ou un remboursement? Le Bilan cyber gratuit fait le tour de vos portails, de vos accès et de vos alertes, et vous remet une liste de priorités claire.
👉 Réservez votre Bilan cyber gratuit
Appelez-nous au 438-476-2322 ou écrivez à info@neotechcloudsolutions.com.
Sources
- Gizmodo (20 octobre 2026) : Chinese Crime Ring Allegedly Hacked Staples to Mint 5 Million in Gift Cards (en anglais)
- TechSpot (21 octobre 2026) : Staples hackers created more than 15,000 gift cards, then went on a shopping spree (en anglais)
Photo : MART PRODUCTION, Pexels (licence Pexels).