Japon otomobil üreticisi Nissan, Oracle PeopleSoft yazılımındaki bir zero-day açığının hedef alınması sonucu mevcut ve eski çalışanlarına ait hassas kişisel verilerin çalınmış olabileceğini duyurdu. Şirket, 26 Haziran'da yayımladığı bir bildirimle, saldırganların Oracle'ın PeopleSoft yazılımındaki kritik bir güvenlik açığını kullanarak Sosyal Güvenlik numaraları, banka hesap bilgileri ve vergi kayıtları gibi verilere eriştiğini belirtti.
Nissan, Oracle'ın kendisini yüzlerce şirketi etkileyen bir siber olay konusunda uyardığını ve Nissan'ın özel olarak hedef alındığını ifade etti. İhlalin, ABD, Kanada, Meksika ve Brezilya'daki mevcut ve eski çalışanları etkilediği ve ulusal kimlik numaraları ile bağımlı veya hak sahibi bilgilerini de kapsadığı düşünülüyor. Saldırganların, PeopleSoft'taki CVE-2026-35273 kodlu kritik uzaktan kod yürütme açığını kullandığı ve bu açığın Oracle tarafından ancak saldırılar başladıktan sonra yamalandığı belirtiliyor.
Saldırı kampanyasının, daha önce çoğunlukla üniversiteleri hedef alan ShinyHunters isimli bir gasp grubuyla bağlantılı olduğu düşünülüyor. Nissan, bu kampanyada yakalanan daha büyük kurumsal isimlerden biri olarak öne çıkıyor. Şirket, sistemlerini güvence altına aldığını, Oracle ile işbirliği yaptığını ve etkilenen çalışanlara ücretsiz kredi veya karanlık ağ izleme hizmeti sunacağını duyurdu.
Uzmanların Görüşleri
Bir önlem olarak Nissan, maaş bordrosuna erişimi kısıtladı; çalışanların maaş fişlerini görüntülemek veya doğrudan yatırım bilgilerini değiştirmek için şirket ağına bağlı bir bilgisayar veya güvenli VPN kullanması gerekiyor. Ayrıca, bordro işlemleri için ek kimlik kontrolleri getirildi. Şirket, çalışanlarını oltalama saldırılarına karşı dikkatli olmaları, şifrelerini değiştirmeleri ve çok faktörlü kimlik doğrulamayı etkinleştirmeleri konusunda uyardı. Veri güvenliği firması Certes'in CTO'su Simon Pamplin, bu durumu 'yüzlerce ilgisiz kuruluş arasında kitlesel bir kayıp olayı' olarak nitelendirdi ve açığın kapatılmasının, zaten çalınmış olan veriler için bir şey ifade etmediğini vurguladı.
