Violação de dados da Nissan Americas em 2026

A Nissan Americas afirmou que utiliza o Oracle PeopleSoft para gerenciar a folha de pagamento, a administração tributária e outros registros de pessoal. A Oracle informou à Nissan sobre um evento cibernético no qual agentes de ameaça podem ter obtido registros de pessoal de centenas de empresas. Posteriormente, a Nissan soube que havia sido um alvo específico e declarou expressamente que dados em seus sistemas haviam sido acessados de forma ilegal.

O documento da Procuradoria-Geral da Califórnia identifica a organização como Nissan North America Inc. e informa as datas conhecidas da violação: 27 de maio e 9 de junho de 2026. Modelos de notificações datados de 25 de junho, destinados a funcionários e ex-funcionários, foram publicados junto ao mesmo documento oficial. A LeakData não usa o número de organizações envolvidas na campanha como um todo no lugar de um total de pessoas afetadas especificamente na Nissan.

A Nissan afirmou que, em uma fase inicial da investigação, acreditava que algumas informações pessoais de funcionários haviam sido acessadas. As categorias divulgadas incluem informações de contato, informações bancárias, números de seguridade social dos Estados Unidos, números de seguro social do Canadá ou outros números de identificação nacional, informações financeiras e fiscais e informações de dependentes ou beneficiários. Essas categorias seguem a redação do comunicado da empresa.

A empresa não afirmou que todos os campos foram expostos para todos os funcionários e ainda não havia concluído a análise de cada arquivo quando o comunicado foi publicado. As categorias de dados, portanto, descrevem o possível alcance do incidente confirmado e não devem ser interpretadas como se todas se aplicassem a cada pessoa.

Segundo a Nissan, o incidente pode afetar funcionários e ex-funcionários da Nissan nos Estados Unidos, no Canadá, no México e no Brasil. Como informações de dependentes e beneficiários estão entre as possíveis categorias de dados, também pode haver registros de algumas pessoas ligadas aos funcionários. A empresa não divulgou uma contagem, por país ou global, de pessoas distintas cujas informações foram acessadas.

A organização não publicou um total verificável de pessoas afetadas ou de registros. A ausência de uma contagem divulgada não significa que o incidente não teve impacto; significa que as fontes públicas não fornecem um total confiável. A declaração da Oracle de que centenas de organizações podem ter sido afetadas, as alegações do ShinyHunters sobre a campanha como um todo e o tamanho do quadro de funcionários da Nissan não podem ser tratados como equivalentes. Contagens de pessoas, campos de dados e alegações de agentes de ameaça que não tenham sido verificados não são tratados como parte do alcance do incidente divulgado publicamente.

O BleepingComputer relacionou o incidente a uma campanha mais ampla de roubo de dados, na qual a CVE-2026-35273 no Oracle PeopleSoft PeopleTools foi explorada como uma vulnerabilidade de dia zero. As descobertas técnicas atribuídas à Google Mandiant apontam exploração entre 27 de maio e 9 de junho e a notificação de muitas organizações. Esse período coincide com as datas indicadas no documento oficial da Nissan sobre a violação.

A reportagem afirma que o grupo ShinyHunters reivindicou a responsabilidade pela campanha, mas o comunicado da Nissan aos funcionários não identifica um atacante. Por isso, a LeakData não apresenta a atribuição ao grupo como uma identificação definitiva confirmada pela empresa. O que está estabelecido no caso da Nissan é que houve o envolvimento de uma vulnerabilidade desconhecida no PeopleSoft, que a organização foi um alvo direto e que dados de pessoal foram acessados sem autorização.

A Nissan ativou protocolos de resposta a incidentes após tomar conhecimento do evento, comunicou-se com as autoridades e contratou especialistas externos em segurança cibernética. As equipes técnicas protegeram os sistemas afetados, começaram a trabalhar com a Oracle e adotaram medidas destinadas a encerrar o acesso não autorizado e impedir novas divulgações de dados. A empresa ressaltou que a investigação para determinar o alcance do incidente continuava em andamento.

Por precaução, o acesso aos contracheques e a realização de alterações no depósito direto foram restritos a computadores da rede da empresa ou a conexões VPN seguras. Estava prevista uma verificação adicional de identidade para solicitações relacionadas à folha de pagamento. A Nissan afirmou que ofereceria monitoramento gratuito de crédito ou da dark web, onde disponível, e enviaria notificações complementares detalhadas às pessoas cujas informações fossem efetivamente confirmadas como expostas.

Este registro não significa que todos os sistemas de clientes da Nissan no mundo ou todas as plataformas de veículos conectados tenham sido comprometidos. O ambiente confirmado é o sistema Oracle PeopleSoft usado pela Nissan Americas para registros de funcionários, e o grupo de pessoas informado é composto por funcionários e ex-funcionários. Não foi relatado impacto confirmado em contas de clientes, sistemas de concessionárias, dados de carros conectados ou telemetria de veículos.

A conclusão verificada é que a Nissan North America foi um alvo direto no ataque ao PeopleSoft ocorrido de 27 de maio a 9 de junho de 2026; algumas informações pessoais de funcionários podem ter sido acessadas; e funcionários e ex-funcionários em quatro países estão dentro do alcance potencial do incidente.