Brecha de datos de Nissan Americas de 2026

Nissan Americas indicó que utiliza Oracle PeopleSoft para gestionar las nóminas, la administración fiscal y otros registros de personal. Oracle informó a Nissan de un incidente de ciberseguridad en el que los actores de amenazas podrían haber obtenido registros de personal de cientos de empresas. Más tarde, Nissan supo que había sido un objetivo específico del ataque y declaró expresamente que se había accedido de forma ilícita a datos de sus sistemas.

El documento del fiscal general de California identifica a la organización como Nissan North America Inc. y señala el 27 de mayo y el 9 de junio de 2026 como las fechas conocidas de la brecha. Junto con ese mismo documento oficial se publicaron modelos de notificación para empleados actuales y antiguos, fechados el 25 de junio. LeakData no utiliza el número de organizaciones afectadas por toda la campaña como sustituto del total de personas afectadas específicamente en Nissan.

Nissan indicó que, en una fase inicial de la investigación, creía que se había accedido a cierta información personal de los empleados. Las categorías divulgadas incluyen información de contacto, información bancaria, números de la Seguridad Social de Estados Unidos, números del seguro social de Canadá u otros números de identificación nacional, información financiera y fiscal, e información sobre personas a cargo o beneficiarios. Estas categorías siguen la redacción del aviso de la empresa.

La empresa no afirmó que todos los campos hubieran quedado expuestos para todos los empleados y, cuando se publicó el aviso, aún no contaba con conclusiones definitivas sobre cada archivo. Por tanto, las categorías de datos describen el posible alcance de la exposición confirmada y no deben interpretarse como si se aplicaran por igual a todas las personas.

Según Nissan, el incidente podría afectar a empleados actuales y antiguos de Nissan en Estados Unidos, Canadá, México y Brasil. Dado que los datos de personas a cargo y beneficiarios figuran entre las posibles categorías de información, también podría haber registros de algunas personas vinculadas a los empleados. La empresa no divulgó un recuento, ni por país ni a escala mundial, de personas distintas a cuya información se hubiera accedido.

La organización no publicó una cifra verificable del total de personas afectadas o registros. Que no se haya divulgado una cifra no significa que el incidente no tuviera consecuencias, sino que las fuentes públicas no ofrecen un total fiable. La declaración de Oracle de que cientos de organizaciones podrían verse afectadas, las afirmaciones de ShinyHunters sobre toda la campaña y el tamaño de la plantilla de Nissan no son datos intercambiables. Los recuentos de personas, los campos de datos y las afirmaciones de los actores de amenazas que no se hayan verificado no se consideran parte del alcance público del incidente.

BleepingComputer vinculó el incidente con una campaña más amplia de robo de datos en la que se explotó CVE-2026-35273 en Oracle PeopleSoft PeopleTools como una vulnerabilidad de día cero. Los hallazgos técnicos atribuidos a Google Mandiant muestran que la explotación se produjo entre el 27 de mayo y el 9 de junio y que se notificó a numerosas organizaciones. Ese período coincide con las fechas que figuran en el documento oficial sobre la brecha de Nissan.

El informe señala que el grupo ShinyHunters reivindicó la autoría de la campaña, pero el aviso de Nissan a sus empleados no identifica a ningún atacante. Por ello, LeakData no presenta la atribución al grupo como una identificación definitiva confirmada por la empresa. Lo que sí se ha establecido en el caso de Nissan es que intervino una vulnerabilidad desconocida de PeopleSoft, que la organización fue atacada directamente y que se accedió a datos del personal sin autorización.

Nissan activó sus protocolos de respuesta a incidentes tras conocer lo ocurrido, se comunicó con las autoridades y contrató a expertos externos en ciberseguridad. Los equipos técnicos protegieron los sistemas afectados, comenzaron a trabajar con Oracle y adoptaron medidas destinadas a poner fin al acceso no autorizado y evitar nuevas divulgaciones de información. La empresa recalcó que la investigación para determinar el alcance seguía en curso.

Como medida de precaución, el acceso a los recibos de nómina y la modificación de los datos de depósito directo se limitaron a equipos conectados a la red de la empresa o a conexiones VPN seguras. Se preveía incorporar una verificación de identidad adicional para las solicitudes relacionadas con las nóminas. Nissan indicó que ofrecería servicios gratuitos de monitoreo del crédito o de la web oscura donde estuvieran disponibles y que enviaría notificaciones posteriores detalladas a las personas cuya información se confirmara finalmente como expuesta.

Este registro no significa que todos los sistemas de clientes de Nissan a escala mundial o todas sus plataformas de vehículos conectados se vieran comprometidos. El entorno confirmado es el sistema Oracle PeopleSoft que Nissan Americas utiliza para los registros de empleados, y la población indicada está formada por empleados actuales y antiguos. No se informó de efectos confirmados en cuentas de clientes, sistemas de concesionarios, datos de vehículos conectados o telemetría de vehículos.

La conclusión verificada es que Nissan North America fue un objetivo directo del ataque contra PeopleSoft ocurrido entre el 27 de mayo y el 9 de junio de 2026; que podría haberse accedido a cierta información personal de empleados; y que el alcance potencial incluye a empleados actuales y antiguos de cuatro países.