Nissan avverte i dipendenti di una possibile esposizione di dati sulle buste paga e sui documenti d’identità dopo una violazione di Oracle PeopleSoft

Nissan ha informato i dipendenti attuali ed ex dipendenti che un incidente informatico legato al software PeopleSoft di Oracle potrebbe aver esposto informazioni personali e sulle buste paga, inclusi dati bancari, documenti fiscali e numeri di identificazione nazionale, come quelli della previdenza sociale.

In una comunicazione inviata al procuratore generale della California, Nissan Americas ha dichiarato che Oracle l’aveva informata di una violazione che ha interessato i dati del personale di centinaia di aziende. Nissan ha successivamente concluso che i propri dati erano stati presi di mira in modo specifico nell’attacco.

Secondo la comunicazione dell’azienda, le informazioni potenzialmente consultate potrebbero includere dati di contatto, informazioni bancarie, numeri di previdenza sociale o di assicurazione sociale, documentazione finanziaria e fiscale, nonché dati relativi a persone a carico e beneficiari. Potrebbero essere stati interessati dipendenti negli Stati Uniti, in Canada, in Messico e in Brasile, anche se Nissan ha dichiarato di stare ancora verificando l’entità dell’esposizione.

Nissan ha dichiarato di aver attivato la procedura di risposta agli incidenti, coinvolto specialisti esterni di sicurezza e collaborato con Oracle, mantenendo informate le forze dell’ordine. L’azienda ha inoltre affermato che, ove disponibile, fornirà alle persone interessate servizi di monitoraggio del credito o del dark web.

Rafforzati i controlli sulle buste paga

Come parte della risposta, Nissan ha aggiunto ulteriori passaggi di verifica per le richieste relative alle buste paga. Ora i dipendenti possono visualizzare i cedolini o modificare le informazioni sul versamento diretto dello stipendio solo dalla rete aziendale o tramite una VPN sicura. L’azienda ha dichiarato di applicare anche controlli aggiuntivi sull’identità prima di elaborare le modifiche alle buste paga.

Una sezione di domande frequenti per i dipendenti, allegata alla comunicazione, attribuisce l’incidente a una vulnerabilità sconosciuta di Oracle PeopleSoft e afferma che la campagna più ampia ha interessato centinaia di organizzazioni e istituzioni. Il documento non identifica la vulnerabilità, non specifica se Oracle l’abbia corretta e non chiarisce se l’ambiente PeopleSoft interessato fosse ospitato da Oracle o gestito da Nissan.

La divulgazione arriva mentre alcune segnalazioni collegano il gruppo di estorsione ShinyHunters a un’ondata separata di intrusioni mirate a vulnerabilità zero-day di PeopleSoft. I ricercatori hanno dichiarato che oltre 100 organizzazioni e circa 300 installazioni PeopleSoft potrebbero essere state compromesse prima che Oracle pubblicasse indicazioni per la mitigazione.

Nissan non ha dichiarato se il proprio caso sia collegato a quegli attacchi precedenti. Nella comunicazione dell’azienda, il periodo della violazione è indicato dal 27 maggio al 9 giugno, una finestra temporale che si sovrappone a quella precedentemente riportata. Oracle ha rilasciato poche dichiarazioni pubbliche e non ha risposto immediatamente alle domande sull’incidente.