北米日産（Nissan North America）は昨年、脅威行為者が同社の外部VPNを標的とし、身代金を受け取るためにシステムをシャットダウンさせるというデータ侵害に見舞われた。
同自動車メーカーは2023年11月初旬に情報漏洩を発見し、最近になって、この事故によって53,000人以上の現従業員および元従業員の個人データが流出したことが判明した。
「2023年12月5日の日産タウンホールミーティングで共有されたように、日産は2023年11月7日に標的型サイバー攻撃の被害者であることを知った。この攻撃を知った日産は、速やかに法執行機関に通報し、脅威の調査、封じ込め、そして脅威の消滅に向けた迅速な対応を開始しました」と、同社は影響を受けた個人への通知で述べている。
日産は、脅威者が外部VPNを標的とし、身代金を要求する前に特定の社内システムをシャットダウンしたことを明らかにした。同社は、攻撃中に暗号化されたシステムはなかったと述べている。
同社は外部のサイバーセキュリティ専門家と協力し、状況を把握し、インシデントを封じ込め、脅威を排除することができた。
その後の調査により、ハッカーはローカルおよびネットワーク共有上のいくつかのファイルにアクセスしたことが判明した。
しかし2月28日、同社は「主にNNA（日産自動車）の現従業員および元従業員に関するデータから、社会保障番号を含む特定の個人情報を特定した」。
メイン州司法長官事務所へのデータ漏洩通知において、同社は、暴露された詳細情報には個人識別子（氏名など）と社会保障番号が含まれており、脅威行為者によってアクセスされたファイルには財務詳細は存在しなかったとしている。
日産は、流出したデータが悪用されたことは認識していないと述べている。
しかし、このデータ流出のリスクを軽減するため、日産は手紙の受取人に対し、エクスペリアンを通じた24ヶ月間の無料クレジット・モニタリングおよび個人情報盗難防止サービスに登録する方法を同封した。
日産はここ数年、日本の自動車メーカーのさまざまな部門に影響を及ぼすセキュリティ・インシデントの標的となってきた。
2023年12月初旬、日産オセアニア（オーストラリアとニュージーランド）は、サイバー攻撃とデータ漏洩の可能性に関する調査を発表した。2024年3月、日産はAkiraランサムウェアが10万人の顧客のデータを盗んだことを確認した。
2023年1月、北米日産は、第三者の技術サービス・プロバイダーがデータベースの設定不備により17,988人の顧客データを流出させ、間接的な情報漏洩に見舞われた。
その2年前、北米日産は、デフォルト（管理者／admin）の認証情報を使用して、公開されたGitサーバーリポジトリをオンラインに放置し、社内アプリやツールの20GBのソースコードを公開した。
日産自動車は、ユーザーがトレント経由でソースコードを共有していることを発見したリサーチャーからの通知を受けて、リポジトリをオフラインにすることで対応した。
Comments