日産北米法人の従業員情報への不正アクセス
- カテゴリ
- 不正アクセス
日産北米法人は、従業員情報の管理に使うOracle PeopleSoftへの攻撃で、日産の現従業員と元従業員の個人情報がアクセスされたと考えている［1、2］。従業員あてと元従業員あての通知の見本を添えた届出が、2026年6月26日にカリフォルニア州司法長官の一覧に掲載された［3］。全容と影響を把握するための調査は初期の段階にあると、日産北米法人は通知で説明した［1］。
経緯
日産北米法人の通知によると、Oracleは「cyber event」があったと伝え、数百社の人事記録がいわゆる脅威アクターに取得された可能性があるとした［1］。その後、この攻撃では日産北米法人が特に標的にされたと分かった［1］。
日産北米法人は通知に添えたQ&Aで、攻撃がOracleのPeopleSoftソフトウェアの未知の脆弱性に関わり、数百の企業・機関に影響していると説明した［1］。PeopleSoftでサイバーインシデントが起き、日産北米法人のシステム上のデータが不正にアクセスされた［1］。
カリフォルニア州司法長官が掲載した届出では、侵害の日付は5月27日と6月9日である［3］。マサチューセッツ州の消費者問題・事業規制局も従業員あての通知を掲載しており、ページの最終更新日は6月29日である［6］。
SecurityWeekは6月30日の記事で、カリフォルニア州司法長官への届出を引き、日産がCVE-2026-35273のゼロデイを悪用したキャンペーンの標的の一つだったと報じた［8］。キャンペーンには恐喝グループのShinyHuntersが関わっているとみられるが、記事を書いた段階では日産は同グループのサイトに載っていないとも報じた［8］。
Oracleは6月10日に、CVE-2026-35273のセキュリティアラートを出した［4］。対象はPeopleSoft PeopleToolsの8.61と8.62である［4］。この脆弱性は認証なしで遠隔から悪用でき、悪用に成功すると遠隔コード実行に至りうる［4］。CVE Programの記録では、CVSS 3.1の基本値は9.8で、CISAは6月12日にこの脆弱性をKEVのカタログに加えた［5］。
MandiantとGoogle Threat Intelligence Groupは6月11日の報告で、Oracle PeopleSoftを狙ったUNC6240（ShinyHunters）の侵害と恐喝の活動を観測し、CVE-2026-35273の悪用と整合するとした〔注1〕［7］。
影響範囲
日産北米法人は、米国・カナダ・メキシコ・ブラジルの日産の現従業員と元従業員が影響を受けると考えている［1、2］。アクセスされたと考えている個人情報には、連絡先と銀行情報、社会保障番号・社会保険番号・国民識別番号、財務・税務データ、扶養家族・受益者の情報などがある［1、2］。
対応と現状
日産北米法人は通知で、問題を知ってすぐにインシデント対応の手順を発動したと説明した［1］。
- 対応の間、当局と連絡を取ってきた［1］。
- 技術チームが外部の専門家とともにシステムを保護し、Oracleと引き続き対処する［1］。
- 不正アクセスを終わらせ、情報のさらなる開示を防ぐための措置を講じた［1］。
- 利用できる地域で、影響を受けた人に無料のクレジットまたはダークウェブの監視サービスを提供する手配をしている［1］。
従業員あての通知では、当面は給与明細の閲覧と口座振込の変更に、社内ネットワークのコンピューターか保護されたVPN接続からのログインが必要になる［1］。日産北米法人は不正を防ぐため、給与関係の依頼を処理する前の本人確認の層を増やす作業を進めている［1］。
個人情報が露出した人には、詳細と次の手順を記した追加の連絡が届くと日産北米法人は告知した［1］。
未公表の事項
- 影響を受けた従業員と元従業員の人数
- 日産北米法人が攻撃を知った日（Q&Aでは、最近になって日産北米法人が直接標的にされたと知ったと答えた［1］）
- 日産北米法人の通知と、SecurityWeekが伝えたCVE-2026-35273との対応
- 日産北米法人への攻撃の実行者
- 個人情報の悪用の有無
注
- 〔注1〕この報告は日産の名前を挙げていない［7］。
出典
当事者
- ［1］Nissan North America Inc.『June 25 2026 Employee Communication Cybersecurity Incident (English) (REG)』（2026年6月26日公開、PDF）
- ［2］Nissan North America Inc.『June 25 2026 Former Employee Communication Cybersecurity Incident』（2026年6月26日公開、PDF）
公的機関
- ［3］State of California Department of Justice, Office of the Attorney General『Data Security Breach（SB24）: Nissan North America Inc.』（2026年6月26日公開）
- ［6］Commonwealth of Massachusetts, Office of Consumer Affairs and Business Regulation『2026-1050- Nissan North America Inc』（2026年6月29日公開、PDF）
報道機関
- ［8］SecurityWeek『Nissan Employee Data Breached in Oracle PeopleSoft Hack』（2026年6月30日公開）
背景資料
- ［4］Oracle Corporation『Oracle Security Alert Advisory - CVE-2026-35273』（2026年6月10日公開）
- ［5］CVE Program『CVE-2026-35273』（2026年6月11日公開、2026年8月4日更新）
- ［7］Google Cloud『ShinyHunters Targets Education Sector with Oracle PeopleSoft Exploit』（2026年6月11日公開）
更新記録
- 2026年7月1日：公開した。
- 2026年8月4日：CVE Programの記録（出典5）の8月4日の更新を加え、経緯の節を改めた。