Nissan warnt Mitarbeiter vor möglicher Offenlegung von Gehalts- und Identitätsdaten nach Oracle-PeopleSoft-Verstoß

Nissan hat aktuelle und ehemalige Mitarbeiter darüber informiert, dass ein Cybervorfall im Zusammenhang mit Oracles PeopleSoft-Software möglicherweise vertrauliche persönliche und Gehaltsdaten offengelegt hat, darunter Bankkontodaten, Steuerunterlagen und nationale Identifikationsnummern wie Sozialversicherungsnummern.

In einer Meldung an den kalifornischen Generalstaatsanwalt teilte Nissan Americas mit, Oracle habe das Unternehmen über einen Verstoß informiert, der Personalunterlagen von Hunderten Unternehmen betreffe. Nissan kam später zu dem Schluss, dass die eigenen Daten bei dem Angriff gezielt ins Visier genommen worden waren.

Der Mitteilung des Unternehmens zufolge könnten zu den möglicherweise abgerufenen Informationen Kontaktdaten, Bankdaten, Sozialversicherungs- oder Sozialversicherungsnummern sowie Finanz- und Steuerunterlagen gehören. Auch Daten zu unterhaltsberechtigten Personen und Begünstigten könnten betroffen sein. Mitarbeiter in den Vereinigten Staaten, Kanada, Mexiko und Brasilien könnten betroffen sein, wobei Nissan nach eigenen Angaben noch den Umfang der Offenlegung ermittelt.

Nissan erklärte, das Unternehmen habe seinen Prozess zur Reaktion auf Sicherheitsvorfälle aktiviert, externe Sicherheitsspezialisten hinzugezogen und arbeite mit Oracle zusammen, während die Strafverfolgungsbehörden informiert würden. Das Unternehmen teilte außerdem mit, betroffenen Personen, sofern verfügbar, eine Überwachung ihrer Kreditdaten oder des Dark Web anzubieten.

Kontrollen bei der Gehaltsabrechnung verschärft

Im Rahmen der Reaktion hat Nissan zusätzliche Verifizierungsschritte für Anfragen im Zusammenhang mit der Gehaltsabrechnung eingeführt. Mitarbeiter können Gehaltsabrechnungen jetzt nur noch über das Unternehmensnetzwerk oder eine sichere VPN-Verbindung einsehen und Änderungen an ihren Informationen zur direkten Gehaltsüberweisung vornehmen. Das Unternehmen erklärte außerdem, vor der Bearbeitung von Änderungen an der Gehaltsabrechnung zusätzliche Identitätsprüfungen durchzuführen.

Ein den Hinweis begleitendes FAQ für Mitarbeiter führt den Vorfall auf eine unbekannte Schwachstelle in Oracle PeopleSoft zurück und erklärt, dass die umfassendere Kampagne Hunderte Organisationen und Institutionen betroffen habe. Das Dokument nennt die Schwachstelle nicht, gibt nicht an, ob Oracle sie behoben hat, und stellt nicht klar, ob die betroffene PeopleSoft-Umgebung von Oracle gehostet oder von Nissan verwaltet wurde.

Die Offenlegung erfolgt vor dem Hintergrund von Berichten, wonach die Erpressergruppe ShinyHunters mit einer separaten Welle von Angriffen auf PeopleSoft-Zero-Days in Verbindung gebracht wird. Forscher erklärten, dass mehr als 100 Organisationen und rund 300 PeopleSoft-Installationen kompromittiert worden sein könnten, bevor Oracle Hinweise zur Schadensbegrenzung herausgab.

Nissan hat nicht mitgeteilt, ob sein Fall mit den früheren Angriffen zusammenhängt. In der Meldung des Unternehmens wird der Zeitraum des Verstoßes mit dem 27. Mai bis zum 9. Juni angegeben, was sich mit dem zuvor berichteten Zeitrahmen überschneidet. Oracle hat sich öffentlich nur wenig dazu geäußert und auf Fragen zu dem Vorfall nicht umgehend reagiert.