Nissan Americas 2026年数据泄露事件

Nissan Americas 表示，其使用 Oracle PeopleSoft 管理薪资、税务及其他人事记录。Oracle 告知 Nissan 发生了一起网络安全事件，威胁行为者可能获取了数百家公司的人员记录。Nissan 随后得知自己遭到了针对性攻击，并明确表示，其系统上的数据遭到非法访问。

加利福尼亚州总检察长的备案文件将涉事机构列为 Nissan North America Inc.，并将已知的数据泄露起止日期列为2026年5月27日和6月9日。同一份官方备案文件还附有日期为6月25日、面向在职及离职员工的通知样本。LeakData 不会用整场攻击行动涉及的机构数量来代替 Nissan 的受影响人数。

Nissan 表示，在调查初期，公司认为部分员工个人信息已被访问。披露的数据类别包括联系信息、银行信息、美国社会保障号码、加拿大社会保险号码或其他国家身份证号码、财务和税务信息，以及受抚养人或受益人信息。这些类别沿用了公司通知中的表述。

公司并未表示每位员工的所有数据字段均已暴露，而且在发布通知时，尚未完成文件层面的调查并得出最终结论。因此，这些数据类别描述的是已确认信息所界定的潜在范围，不应理解为每个人都同样涉及这些信息。

据 Nissan 称，该事件可能影响美国、加拿大、墨西哥和巴西的 Nissan 在职及离职员工。由于可能涉及的数据类别包括受抚养人和受益人的详细信息，其中也可能包含部分与员工有关联的人员记录。公司未披露信息遭访问的人数，无论是按国家统计还是全球去重后的总人数。

该公司未公布可核实的受影响人数或记录总数。未披露数量并不意味着事件没有造成影响，而是说明公开来源未提供可靠的总数。Oracle 关于数百家机构可能受到影响的声明、ShinyHunters 对整场攻击行动的声称，以及 Nissan 的员工规模，不能相互替代使用。未经核实的人数、数据字段和威胁行为者的声称，不纳入本事件的公开记录范围。

BleepingComputer 将该事件与一场范围更广的数据窃取行动联系起来。在这场行动中，Oracle PeopleSoft PeopleTools 中的 CVE-2026-35273 被作为零日漏洞利用。据报道，Google Mandiant 的技术调查结果显示，漏洞利用发生在5月27日至6月9日期间，许多机构随后收到了通知。该时段与 Nissan 官方数据泄露备案文件中列出的日期一致。

报道称，ShinyHunters 团伙声称对这场攻击行动负责，但 Nissan 的员工通知并未指明攻击者。因此，LeakData 不会将这一归属判断作为公司已确认的攻击者身份。就 Nissan 而言，已确定的事实是：事件涉及一个未知的 PeopleSoft 漏洞，公司遭到直接针对，人员数据被未经授权访问。

Nissan 在得知事件后启动了事件响应流程，与有关部门沟通，并聘请了外部网络安全专家。技术团队对受影响系统采取了安全防护措施，开始与 Oracle 合作，并采取旨在终止未经授权访问、防止数据进一步泄露的措施。公司强调，确定事件影响范围的调查仍在进行。

作为预防措施，工资单的访问和直接入账信息的变更操作被限制为仅可通过公司网络内的计算机或安全 VPN 连接进行。公司还计划对薪资相关请求增加身份核验。Nissan 表示，将在相关服务可用的地区提供免费信用监测或暗网监测，并向最终确认信息已暴露的个人发送详细的后续通知。

这条记录并不意味着 Nissan 在全球的所有客户系统或联网汽车平台都已遭到入侵。已确认涉及的环境是 Nissan Americas 用于管理员工记录的 Oracle PeopleSoft 系统，已披露的受影响群体为在职及离职员工。没有报告确认客户账户、经销商系统、联网汽车数据或车辆遥测数据受到影响。

已核实的结论是：Nissan North America 在2026年5月27日至6月9日的 PeopleSoft 攻击中遭到直接针对；部分员工个人信息可能已被访问；四个国家的在职及离职员工属于潜在受影响范围。