Violation de données chez Nissan Americas en 2026

Nissan Americas a indiqué utiliser Oracle PeopleSoft pour gérer la paie, l’administration fiscale et d’autres dossiers du personnel. Oracle a informé Nissan d’un incident de cybersécurité au cours duquel des acteurs malveillants auraient pu obtenir des dossiers du personnel appartenant à des centaines d’entreprises. Nissan a ensuite appris qu’elle avait été spécifiquement ciblée et a explicitement déclaré que des données présentes sur ses systèmes avaient fait l’objet d’un accès illicite.

Le document publié par le procureur général de Californie identifie l’organisation comme Nissan North America Inc. et indique le 27 mai et le 9 juin 2026 comme dates connues de début et de fin de la violation. Des modèles de notification datés du 25 juin, destinés aux salariés actuels et anciens, sont publiés avec ce même document officiel. LeakData ne remplace pas le nombre de personnes concernées chez Nissan par le nombre d’organisations touchées à l’échelle de la campagne.

Nissan a déclaré qu’à un stade précoce de son enquête, elle estimait que certaines informations personnelles de salariés avaient fait l’objet d’un accès. Les catégories mentionnées comprennent les coordonnées, les informations bancaires, les numéros de sécurité sociale des États-Unis, les numéros d’assurance sociale du Canada ou d’autres numéros d’identification nationale, les informations financières et fiscales, ainsi que les informations sur les personnes à charge ou les bénéficiaires. Ces catégories reprennent les termes employés dans la notification de l’entreprise.

L’entreprise n’a pas déclaré que tous les champs avaient été exposés pour chaque salarié et n’avait pas encore finalisé ses conclusions pour chaque fichier au moment de la publication de la notification. Les catégories de données décrivent donc l’étendue potentielle de l’exposition dans le cadre de l’incident confirmé et ne doivent pas être considérées comme s’appliquant uniformément à chaque personne.

Selon Nissan, l’incident pourrait concerner des salariés actuels et anciens de Nissan aux États-Unis, au Canada, au Mexique et au Brésil. Les informations relatives aux personnes à charge et aux bénéficiaires figurant parmi les catégories de données potentiellement concernées, des dossiers concernant certaines personnes liées aux salariés pourraient également être présents. L’entreprise n’a communiqué, ni par pays ni à l’échelle mondiale, le nombre de personnes distinctes dont les informations ont fait l’objet d’un accès.

L’organisation n’a publié aucun total vérifiable de personnes ou d’enregistrements concernés. L’absence de chiffre ne signifie pas que l’incident n’a eu aucun impact, mais que les sources publiques ne fournissent pas de total fiable. La déclaration d’Oracle selon laquelle des centaines d’organisations pourraient être touchées, les affirmations de ShinyHunters concernant l’ensemble de la campagne et les effectifs de Nissan ne sont pas des données interchangeables. Les nombres de personnes, les champs de données et les affirmations d’acteurs malveillants qui n’ont pas été vérifiés ne sont pas considérés comme faisant partie du périmètre public de l’incident.

BleepingComputer a rattaché l’incident à une campagne plus large de vol de données dans laquelle la vulnérabilité CVE-2026-35273 d’Oracle PeopleSoft PeopleTools a été exploitée comme une faille zero-day. Les constats techniques attribués à Google Mandiant font état d’une exploitation entre le 27 mai et le 9 juin et de notifications adressées à de nombreuses organisations. Cette période correspond aux dates indiquées dans la déclaration officielle de violation de données de Nissan.

Selon l’article, le groupe ShinyHunters a revendiqué la campagne, mais la notification de Nissan à ses salariés ne nomme aucun attaquant. LeakData ne présente donc pas l’attribution au groupe comme une identification définitive confirmée par l’entreprise. Les faits établis pour Nissan sont qu’une vulnérabilité inconnue de PeopleSoft était en cause, que l’organisation a été directement ciblée et que des données du personnel ont fait l’objet d’un accès non autorisé.

Après avoir été informée de l’incident, Nissan a activé ses protocoles de réponse aux incidents, échangé avec les autorités et fait appel à des experts externes en cybersécurité. Les équipes techniques ont sécurisé les systèmes concernés, commencé à travailler avec Oracle et pris des mesures visant à mettre fin aux accès non autorisés et à prévenir toute divulgation supplémentaire. L’entreprise a souligné que son enquête destinée à déterminer l’étendue de l’incident était toujours en cours.

Par précaution, l’accès aux bulletins de paie et la possibilité de modifier les paramètres de virement des salaires ont été limités aux ordinateurs du réseau de l’entreprise ou aux connexions VPN sécurisées. Une vérification d’identité supplémentaire était prévue pour les demandes liées à la paie. Nissan a déclaré qu’elle proposerait une surveillance gratuite du dossier de crédit ou du dark web, là où ces services sont disponibles, et qu’elle enverrait des notifications complémentaires détaillées aux personnes dont l’exposition des informations serait finalement confirmée.

Cette fiche ne signifie pas que tous les systèmes clients ou toutes les plateformes de véhicules connectés de Nissan dans le monde ont été compromis. L’environnement confirmé est le système Oracle PeopleSoft utilisé par Nissan Americas pour les dossiers du personnel, et la population mentionnée comprend les salariés actuels et anciens. Aucun impact confirmé sur les comptes clients, les systèmes des concessionnaires, les données des voitures connectées ou la télémétrie des véhicules n’a été signalé.

La conclusion vérifiée est que Nissan North America a été directement ciblée lors de l’attaque visant PeopleSoft du 27 mai au 9 juin 2026, que certaines informations personnelles de salariés ont pu faire l’objet d’un accès et que les salariés actuels et anciens de quatre pays entrent dans le périmètre potentiel de l’incident.