Nissan, Oracle PeopleSoft yazılımındaki bir sıfırıncı gün açığından yararlanan siber saldırganların, mevcut ve eski çalışanlarına ait sosyal güvenlik numaraları, banka hesap bilgileri ve vergi kayıtları gibi hassas kişisel verileri çaldığını duyurdu. Otomobil üreticisi, 26 Haziran’da yayımladığı ihlal bildiriminde, Oracle’ın kendisini yüzlerce şirketi etkileyen bir siber olay konusunda uyardığını ve Nissan’ın özel olarak hedef alındığını belirtti.
Saldırının, Oracle PeopleSoft’ta keşfedilmemiş bir güvenlik açığı olan CVE-2026-35273 üzerinden gerçekleştiği ve bu açığın kritik uzaktan kod yürütme hatası olduğu ifade edildi. ShinyHunters adlı gasp grubunun düzenlediği geniş çaplı kampanya kapsamında 100’den fazla kuruluşun hedef alındığı, çoğunlukla üniversitelerin etkilendiği, ancak Nissan’ın bu kampanyaya yakalanan büyük şirketlerden biri olduğu belirtiliyor.
Nissan, sızdırılan verilerin sosyal güvenlik numaraları, ulusal kimlik numaraları, iletişim ve banka bilgileri, mali ve vergi kayıtları ile bakmakla yükümlü olunan kişilere ait bilgileri içerdiğini açıkladı. Şirket, sistemlerini güvence altına aldığını, Oracle ile iş birliği yaptığını ve etkilenen çalışanlara ücretsiz kredi veya karanlık ağ izleme hizmeti sunacağını duyurdu. Önlem olarak, bordro erişimi kısıtlandı ve çalışanların maaş bordrolarını görüntülemek veya doğrudan yatırma bilgilerini değiştirmek için ağ bilgisayarı veya güvenli VPN kullanmaları zorunlu hale getirildi.
Veri güvenliği firması Certes’in CTO’su Simon Pamplin, bu olayı ‘yüzlerce ilgisiz kuruluşu etkileyen kitlesel bir felaket’ olarak nitelendirerek, açığın kapatılmasının zaten çalınmış veriler için bir şey ifade etmediğini vurguladı. Nissan, soruşturmanın devam ettiğini ve etkilenen kişilerle doğrudan iletişime geçileceğini bildirdi.
