Nissan a révélé une fuite de données affectant des employés actuels et anciens après que des attaquants ont exploité une vulnérabilité critique d’Oracle PeopleSoft lors d’une campagne plus large de vol de données liée au groupe d’extorsion ShinyHunters.
Selon les notifications de fuite, Nissan Americas utilisait Oracle PeopleSoft pour gérer les informations des employés, y compris la paie, l’administration fiscale et d’autres fonctions des ressources humaines. Oracle a informé le constructeur automobile que des acteurs malveillants avaient compromis les environnements PeopleSoft appartenant à des centaines d’organisations et que Nissan faisait partie des entreprises spécifiquement ciblées.
L’entreprise a indiqué que son enquête était en cours, mais pense que les attaquants ont pu accéder à un large éventail d’informations sensibles sur les employés. Les données potentiellement exposées incluent les noms, coordonnées, informations bancaires, numéros de sécurité sociale, numéros d’assurance sociale, numéros d’identification nationale, documents fiscaux, informations financières ainsi que les détails des personnes à charge ou bénéficiaires.
On pense que cette violation affecte des employés actuels et anciens aux États-Unis, au Canada, au Mexique et au Brésil. Nissan a indiqué avoir activé ses procédures de réponse aux incidents après avoir appris la compromission, engagé des experts externes en cybersécurité, sécurisé les systèmes affectés, et continue de collaborer avec Oracle au fur et à mesure que l’enquête progresse.
L’incident fait partie d’une campagne plus large exploitant une vulnérabilité critique d’Oracle PeopleSoft PeopleTools, suivie sous le numéro CVE-2026-35273. Les chercheurs en sécurité et Oracle ont averti que cette faille permettait l’exécution de code à distance non authentifiée et était exploitée comme un zero-day avant que les mitigations ne soient disponibles.
Plus tôt ce mois-ci, le groupe d’extorsion ShinyHunters a affirmé avoir compromis plus de 300 instances Oracle PeopleSoft dans plus de 100 organisations en exploitant cette vulnérabilité. Bien que ces affirmations n’aient pas été vérifiées de manière indépendante en intégralité, plusieurs organisations ont depuis confirmé des violations liées à la campagne, dont Nissan.
Contrairement aux attaques traditionnelles de ransomware qui chiffrent immédiatement les systèmes, cette campagne s’est principalement concentrée sur le vol de données sensibles à des fins d’extorsion. Les organisations dont les systèmes RH et de paie dépendaient de serveurs PeopleSoft vulnérables sont devenues des cibles attrayantes car elles contenaient de grands volumes de dossiers d’employés et d’informations financières.