● Bevestigd via Amerikaanse rechtszaak, Staples zelf reageert niet · Datalek · Bijgewerkt 19 oktober 2026
Een Chinese criminele organisatie hackte in 2023 het interne klantenservicesysteem van kantoorwinkelketen Staples en gebruikte gestolen medewerkerssessies om massaal cadeaubonnen te genereren. Amerikaanse justitie bevestigt de zaak: drie leden van het netwerk zijn inmiddels veroordeeld voor hun rol in de fraude, die volgens aanklagers in totaal meer dan 100 miljoen dollar aan cadeaubonnen opleverde.
- Wat
- Hackers braken in op het interne klantenservicesysteem van kantoorwinkelketen Staples en gebruikten die toegang om massaal cadeaubonnen te genereren.
- Dader
- Chinese criminele organisatie; drie leden kregen celstraf in New Hampshire (Naxin Wu, Mengying Jiang, Mingdong Chen)
- Hoe binnen
- Hackers kregen van buitenaf toegang tot het interne systeem Nexus en kaapten met 'heap dump'-verzoeken de sessies van medewerkers
- Wanneer
- Hack ontdekt in oktober 2023, drie daders in april veroordeeld
- Getroffen
- Bevestigd 4 organisaties Staples zelf en de retailers Target, Sephora en Lowe's werden getroffen doordat de gestolen cadeaubonnen daar werden verzilverd.
- Nederlanders geraakt?
- Onbekend Dit is een Amerikaans incident bij Amerikaanse winkelketens (Staples, Target, Sephora, Lowe's); er zijn geen aanwijzingen dat Nederlandse klanten zijn geraakt.
- Gegevens
- Gelekt sessiegegevens van klantenservicemedewerkers
- Schade
- Het netwerk buitte in totaal meer dan 100 miljoen dollar aan cadeaubonnen bij meerdere bedrijven
- Onderzoek
- Het Amerikaanse ministerie van Justitie kondigde de veroordelingen van drie betrokkenen aan
- Rechtszaak
- Drie Chinese staatsburgers veroordeeld tot celstraffen van 24 tot 60 maanden in New Hampshire
Wat is er gebeurd bij Staples?
Een Chinese criminele organisatie hackte in 2023 het interne klantenservicesysteem van kantoorwinkelketen Staples en gebruikte die toegang om massaal cadeaubonnen te genereren. Amerikaanse justitie bevestigt de zaak inmiddels: vorig jaar april werden drie leden van het netwerk veroordeeld voor hun rol in de fraude, die volgens justitie in totaal meer dan 100 miljoen dollar aan cadeaubonnen opleverde.
De details kwamen naar buiten via rechtbankstukken die onderzoeksredactie 404 Media kon inzien. Daaruit blijkt dat Homeland Security Investigations (HSI) al in oktober 2023 een tip kreeg dat hackers een kantoorbedrijf hadden aangevallen. Staples werd in de stukken niet met naam genoemd, maar 404 Media herleidde het bedrijf via details als de vestiging in Massachusetts en het interne systeem Nexus.
De hackers kwamen binnen via Nexus, het klantenservicesysteem dat volgens Staples alleen vanaf de eigen bedrijfscomputers te bereiken was. De daders vonden toch een weg naar binnen en haalden met zogeheten heap dump-verzoeken gegevens uit het geheugen van de applicatie. Daarmee kaapten ze de sessies van ingelogde klantenservicemedewerkers en konden ze op naam van Staples cadeaubonnen uitgeven.
De gevolgen waren vooral voelbaar bij de winkels waar de buit werd verzilverd. Bij Target werden duizenden cadeaubonnen gebruikt in tientallen winkels, Sephora zag honderden bonnen verzilverd in duizenden online transacties en ook bouwmarktketen Lowe's kreeg met de fraude te maken. Staples zelf reageerde niet op vragen van 404 Media over het incident.
De verdachten waren een essentiële schakel in dit internationale netwerk, door de buit van Chinese hackers en oplichters om te zetten in geld.
Amerikaanse justitiefunctionaris (geciteerd door 404 Media)
Wie zit achter de hack bij Staples?
Volgens Amerikaanse aanklagers zit een Chinese criminele organisatie achter de hack. Het netwerk bestond uit hackers die cadeaubongegevens buitmaakten en andere leden die de buit omzetten in geld, onder meer door er dure elektronica mee te kopen die werd teruggestuurd naar China.
Vorig jaar april kondigde het Amerikaanse ministerie van Justitie aan dat drie Chinese staatsburgers waren veroordeeld voor hun rol in de cadeaubonfraude. Naxin Wu kreeg 33 maanden cel, Mengying Jiang 60 maanden en Mingdong Chen 24 maanden.
Staples wordt in de rechtbankstukken zelf niet met naam genoemd. 404 Media herleidde het bedrijf via details als de vestiging in Massachusetts, het gebruik van cadeaubonleverancier Blackhawk Network en het interne systeem Nexus.
Hoe kwamen de hackers binnen bij Staples?
De hackers braken niet in via phishing of een gestolen wachtwoord, maar vonden een route naar Nexus, het interne klantenservicesysteem van Staples. Het bedrijf ging ervan uit dat dit systeem alleen vanaf de eigen bedrijfscomputers te bereiken was.
Met herhaalde heap dump-verzoeken, een techniek om gegevens uit het geheugen van een applicatie te halen, kaapten de daders de ingelogde sessies van klantenservicemedewerkers. Daarmee konden ze zich voordoen als medewerker en op grote schaal cadeaubonnen aanmaken.
HSI kreeg in oktober 2023 een tip binnen die het onderzoek in gang zette en uiteindelijk tot de veroordelingen leidde.
Wat is nog niet bekend over de aanval op Staples?
Staples heeft zelf nooit publiekelijk bevestigd dat het om het bedrijf ging en reageerde niet op vragen van 404 Media. Daardoor is onduidelijk of er naast de interne sessiegegevens ook klantgegevens zoals betaalgegevens zijn ingezien.
Ook is niet bekend of er naast de drie veroordeelde Chinese staatsburgers nog meer verdachten worden vervolgd. Vergelijkbare zaken, zoals het datalek bij moderetailer Inditex, laten zien dat ook interne systemen van grote retailers kwetsbaar blijven.
Voor Nederlandse klanten is er geen directe aanleiding tot zorg, omdat het om Amerikaanse winkels gaat. Krijg je zelf ooit een melding over een datalek, lees dan wat je doet na een datalek.
Bronnen: 404 Media, The Epoch Times