Nissan Americas में 2026 की डेटा सेंध

Nissan Americas ने कहा कि वह वेतन, कर प्रशासन और कर्मचारियों के अन्य रिकॉर्ड के प्रबंधन के लिए Oracle PeopleSoft का इस्तेमाल करता है। Oracle ने Nissan को एक साइबर घटना की जानकारी दी, जिसमें हमलावरों ने संभवतः सैकड़ों कंपनियों के कर्मचारियों के रिकॉर्ड हासिल किए थे। बाद में Nissan को पता चला कि उसे विशेष रूप से निशाना बनाया गया था। उसने स्पष्ट रूप से कहा कि उसकी प्रणालियों पर मौजूद डेटा तक गैरकानूनी ढंग से पहुँच बनाई गई थी।

कैलिफ़ोर्निया के अटॉर्नी जनरल के यहाँ दाखिल दस्तावेज़ में संगठन का नाम Nissan North America Inc. दिया गया है और सेंध की ज्ञात तारीखें 27 मई और 9 जून 2026 बताई गई हैं। मौजूदा और पूर्व कर्मचारियों के लिए 25 जून की तारीख वाले नमूना सूचना पत्र भी इसी आधिकारिक दस्तावेज़ के साथ प्रकाशित किए गए हैं। LeakData पूरे अभियान में शामिल संगठनों की संख्या को Nissan के प्रभावित लोगों की कुल संख्या के स्थान पर इस्तेमाल नहीं करता।

Nissan ने कहा कि जाँच के शुरुआती चरण में उसका मानना था कि कर्मचारियों की कुछ निजी जानकारी तक पहुँच बनाई गई थी। बताई गई श्रेणियों में संपर्क जानकारी, बैंक संबंधी जानकारी, अमेरिका की सामाजिक सुरक्षा संख्याएँ, कनाडा की सामाजिक बीमा संख्याएँ या अन्य राष्ट्रीय पहचान संख्याएँ, वित्तीय और कर संबंधी जानकारी तथा आश्रितों या लाभार्थियों की जानकारी शामिल हैं। ये श्रेणियाँ कंपनी के सूचना पत्र की शब्दावली के अनुरूप हैं।

कंपनी ने यह नहीं कहा कि हर कर्मचारी की हर तरह की जानकारी उजागर हुई थी। सूचना पत्र प्रकाशित होने तक उसने अलग-अलग फ़ाइलों के स्तर पर जाँच के निष्कर्षों को अंतिम रूप भी नहीं दिया था। इसलिए ये डेटा श्रेणियाँ बताती हैं कि पुष्ट दायरे में संभावित रूप से कौन-सी जानकारियाँ शामिल हैं; इन्हें हर व्यक्ति पर समान रूप से लागू नहीं समझना चाहिए।

Nissan के अनुसार, इस घटना से अमेरिका, कनाडा, मेक्सिको और ब्राज़ील के मौजूदा तथा पूर्व Nissan कर्मचारी प्रभावित हो सकते हैं। संभावित डेटा श्रेणियों में आश्रितों और लाभार्थियों के विवरण भी शामिल हैं, इसलिए कर्मचारियों से जुड़े कुछ अन्य लोगों के रिकॉर्ड भी मौजूद हो सकते हैं। कंपनी ने उन अलग-अलग व्यक्तियों की देशवार या वैश्विक कुल संख्या नहीं बताई, जिनकी जानकारी तक पहुँच बनाई गई थी।

संगठन ने प्रभावित लोगों या रिकॉर्ड की कोई सत्यापन योग्य कुल संख्या प्रकाशित नहीं की। संख्या का खुलासा न होने का अर्थ यह नहीं है कि घटना का कोई प्रभाव नहीं पड़ा; इसका अर्थ है कि सार्वजनिक स्रोत विश्वसनीय कुल संख्या नहीं बताते। Oracle का यह बयान कि सैकड़ों संगठन प्रभावित हो सकते हैं, ShinyHunters के पूरे अभियान से जुड़े दावे और Nissan के कर्मचारियों की संख्या, इनका एक-दूसरे के स्थान पर इस्तेमाल नहीं किया जा सकता। लोगों की अपुष्ट संख्याओं, डेटा फ़ील्ड और हमलावरों के दावों को घटना के सार्वजनिक रूप से दर्ज दायरे का हिस्सा नहीं माना जाता।

BleepingComputer ने इस घटना को डेटा चोरी के एक व्यापक अभियान से जोड़ा, जिसमें Oracle PeopleSoft PeopleTools की CVE-2026-35273 खामी का zero-day के रूप में फायदा उठाया गया था। Google Mandiant से जोड़े गए तकनीकी निष्कर्ष बताते हैं कि 27 मई से 9 जून के बीच इस खामी का फायदा उठाया गया और कई संगठनों को इसकी सूचना दी गई। यह अवधि Nissan द्वारा सेंध के बारे में दाखिल आधिकारिक दस्तावेज़ में दी गई तारीखों से मेल खाती है।

रिपोर्ट के अनुसार, ShinyHunters समूह ने इस अभियान की ज़िम्मेदारी लेने का दावा किया, लेकिन Nissan के कर्मचारी सूचना पत्र में किसी हमलावर का नाम नहीं है। इसलिए LeakData इस समूह से जोड़े गए हमले को कंपनी द्वारा पुष्ट हमलावर की निश्चित पहचान के रूप में प्रस्तुत नहीं करता। Nissan के संबंध में स्थापित तथ्य यह हैं कि PeopleSoft की एक अज्ञात सुरक्षा खामी का इस्तेमाल हुआ, संगठन को सीधे निशाना बनाया गया और कर्मचारियों के डेटा तक बिना अनुमति पहुँच बनाई गई।

घटना का पता चलने पर Nissan ने घटना से निपटने की प्रक्रियाएँ सक्रिय कीं, संबंधित अधिकारियों से संपर्क किया और बाहरी साइबर सुरक्षा विशेषज्ञों की सहायता ली। तकनीकी टीमों ने प्रभावित प्रणालियों को सुरक्षित किया, Oracle के साथ काम शुरू किया और अनधिकृत पहुँच समाप्त करने तथा आगे जानकारी उजागर होने से रोकने के उद्देश्य से कदम उठाए। कंपनी ने ज़ोर दिया कि घटना का दायरा निर्धारित करने के लिए उसकी जाँच अभी जारी थी।

एहतियात के तौर पर, वेतन पर्चियों तक पहुँच और सीधे बैंक खाते में भुगतान जमा करने से जुड़े बदलावों की सुविधा केवल कंपनी के नेटवर्क से जुड़े कंप्यूटरों या सुरक्षित VPN कनेक्शन तक सीमित कर दी गई। वेतन संबंधी अनुरोधों के लिए अतिरिक्त पहचान सत्यापन की योजना बनाई गई थी। Nissan ने कहा कि जहाँ उपलब्ध हो, वहाँ वह क्रेडिट या डार्क वेब की निःशुल्क निगरानी उपलब्ध कराएगा और जिन लोगों की जानकारी उजागर होने की अंततः पुष्टि होगी, उन्हें बाद में विस्तृत सूचना पत्र भेजेगा।

इस रिकॉर्ड का अर्थ यह नहीं है कि दुनिया भर में Nissan के ग्राहकों से जुड़ी हर प्रणाली या कनेक्टेड-वाहन प्लेटफ़ॉर्म की सुरक्षा भंग हुई थी। पुष्टि उस Oracle PeopleSoft प्रणाली के संबंध में हुई है, जिसका इस्तेमाल Nissan Americas कर्मचारियों के रिकॉर्ड के लिए करता है। जिन लोगों के प्रभावित होने की जानकारी दी गई है, वे मौजूदा और पूर्व कर्मचारी हैं। ग्राहक खातों, डीलर प्रणालियों, कनेक्टेड कार के डेटा या वाहन टेलीमेट्री पर किसी पुष्ट प्रभाव की सूचना नहीं दी गई।

सत्यापित निष्कर्ष यह है कि 27 मई से 9 जून 2026 के बीच हुए PeopleSoft हमले में Nissan North America को सीधे निशाना बनाया गया था; कर्मचारियों की कुछ निजी जानकारी तक पहुँच बनाई गई हो सकती है; और चार देशों के मौजूदा तथा पूर्व कर्मचारी संभावित दायरे में आते हैं।