Утечка данных Nissan Americas в 2026 году

Nissan Americas сообщила, что использует Oracle PeopleSoft для расчёта заработной платы, налогового учёта и ведения других кадровых данных. Oracle уведомила Nissan о киберинциденте, в ходе которого злоумышленники могли получить кадровые данные сотен компаний. Позднее Nissan узнала, что стала непосредственной целью атаки, и прямо заявила о незаконном доступе к данным в своих системах.

В документе Генерального прокурора Калифорнии организация указана как Nissan North America Inc., а известные даты нарушения безопасности: 27 мая и 9 июня 2026 года. Вместе с этим официальным документом опубликованы образцы уведомлений для нынешних и бывших сотрудников, датированные 25 июня. LeakData не подменяет число затронутых людей в Nissan общим количеством организаций, затронутых кампанией.

Nissan сообщила, что на раннем этапе расследования предполагала, что к некоторым персональным данным сотрудников был получен доступ. Среди раскрытых компанией категорий, контактная информация, банковские данные, номера социального страхования США, канадские номера социального страхования или другие национальные идентификационные номера, финансовая и налоговая информация, а также сведения об иждивенцах или выгодоприобретателях. Эти категории соответствуют формулировкам в уведомлении компании.

Компания не заявляла, что по каждому сотруднику были раскрыты все поля данных. На момент публикации уведомления выводы по отдельным файлам ещё не были окончательно сформированы. Поэтому перечисленные категории описывают возможный объём данных, затронутых подтверждённым инцидентом, и не означают, что все эти сведения были раскрыты у каждого человека.

По данным Nissan, инцидент может затрагивать нынешних и бывших сотрудников Nissan в США, Канаде, Мексике и Бразилии. Поскольку среди возможных категорий данных есть сведения об иждивенцах и выгодоприобретателях, в записях также могут присутствовать данные некоторых людей, связанных с сотрудниками. Компания не раскрыла число уникальных людей, к чьим сведениям был получен доступ, ни по отдельным странам, ни в целом по миру.

Компания не опубликовала поддающееся проверке общее число затронутых людей или записей. Отсутствие раскрытого количества не означает, что инцидент не имел последствий; это означает, что общедоступные источники не позволяют достоверно установить итоговое число. Заявление Oracle о том, что инцидент может затрагивать сотни организаций, утверждения ShinyHunters о масштабах всей кампании и численность персонала Nissan нельзя использовать как взаимозаменяемые показатели. Непроверенные сведения о количестве людей, полях данных и заявления злоумышленников не включаются в публичное описание масштаба инцидента.

BleepingComputer связал инцидент с более широкой кампанией кражи данных, в ходе которой CVE-2026-35273 в Oracle PeopleSoft PeopleTools эксплуатировалась как уязвимость нулевого дня. Согласно результатам технического анализа, приводимым со ссылкой на Google Mandiant, эксплуатация происходила с 27 мая по 9 июня, а многие организации получили уведомления. Этот период совпадает с датами, указанными в официальном документе Nissan об утечке.

В публикации говорится, что группировка ShinyHunters заявила об ответственности за кампанию, однако в уведомлении Nissan для сотрудников злоумышленник не назван. Поэтому LeakData не представляет причастность этой группировки как окончательно установленный и подтверждённый компанией факт. В отношении Nissan установлено следующее: в инциденте использовалась неизвестная уязвимость PeopleSoft, организация стала непосредственной целью атаки, а к кадровым данным был получен несанкционированный доступ.

Узнав об инциденте, Nissan задействовала процедуры реагирования, связалась с компетентными органами и привлекла внешних экспертов по кибербезопасности. Технические специалисты защитили затронутые системы, начали совместную работу с Oracle и приняли меры, направленные на прекращение несанкционированного доступа и предотвращение дальнейшего раскрытия данных. Компания подчеркнула, что расследование для определения масштаба инцидента продолжалось.

В качестве меры предосторожности доступ к расчётным листкам и возможность изменения данных для прямого зачисления выплат ограничили: они были доступны только с компьютеров в корпоративной сети или через защищённые VPN-соединения. Для запросов, связанных с заработной платой, планировалась дополнительная проверка личности. Nissan сообщила, что предложит бесплатный мониторинг кредитной истории или даркнета там, где такие услуги доступны, и направит подробные последующие уведомления людям, раскрытие чьих данных будет окончательно подтверждено.

Эта запись не означает, что были скомпрометированы все клиентские системы Nissan в мире или платформы подключённых автомобилей. Подтверждённо затронутая среда (система Oracle PeopleSoft, которую Nissan Americas использует для кадровых данных, а указанная компанией группа людей) нынешние и бывшие сотрудники. О подтверждённых последствиях для клиентских аккаунтов, дилерских систем, данных подключённых автомобилей или автомобильной телеметрии не сообщалось.

Подтверждённые выводы таковы: Nissan North America стала непосредственной целью атаки на PeopleSoft с 27 мая по 9 июня 2026 года; к некоторым персональным данным сотрудников мог быть получен доступ; в число потенциально затронутых людей входят нынешние и бывшие сотрудники в четырёх странах.