Nissan bestätigt Datenleck nach Oracle-PeopleSoft-Zero-Day-Angriff

Das Nissan-Datenleck hat den Automobilhersteller dazu veranlasst, eine umfassende Untersuchung einzuleiten. Auslöser war ein Cyberangriff auf eine Oracle-PeopleSoft-Umgebung, in der Mitarbeiterdaten gespeichert werden. Der Vorfall ist Teil einer größeren Angriffskampagne gegen Organisationen, die verwundbare Oracle-Unternehmenssoftware einsetzen.

Nissan untersucht den Vorfall weiterhin, um festzustellen, auf welche Daten die Angreifer zugegriffen haben und wie viele Personen betroffen sind.

Mitarbeiterdaten könnten offengelegt worden sein

Nach Einschätzung von Nissan haben die Angreifer auf Datensätze aktueller und ehemaliger Mitarbeiter in mehreren nordamerikanischen Ländern zugegriffen.

Zu den möglicherweise offengelegten Informationen gehören Namen, Kontaktdaten, Geburtsdaten, staatliche Ausweisdokumente, Gehalts- und Steuerinformationen, Bankverbindungen sowie Angaben zu Begünstigten.

Die Ermittler analysieren die betroffenen Systeme weiterhin, um das vollständige Ausmaß des Vorfalls zu ermitteln.

Bislang hat Nissan keine Hinweise darauf gefunden, dass Kundendaten kompromittiert wurden.

Angreifer nutzten eine Schwachstelle in Oracle PeopleSoft aus

Die Untersuchung zeigt, dass sich die Angreifer durch die Ausnutzung einer bislang unbekannten Schwachstelle in Oracle PeopleSoft Zugang zu Nissans Systemen verschafften.

Dieselbe Sicherheitslücke ermöglichte Angriffe auf zahlreiche weitere Organisationen, bevor Administratoren die Sicherheitsupdates von Oracle installieren konnten. Sicherheitsforscher gehen davon aus, dass die Bedrohungsakteure gezielt nach verwundbaren PeopleSoft-Servern suchten und sofort zuschlugen, sobald sie exponierte Systeme entdeckten.

Nissan setzt seine Sicherheitsmaßnahmen fort

Nissan aktivierte seinen Notfallplan unmittelbar nach der Entdeckung des Angriffs.

Das Unternehmen sicherte die betroffenen Systeme, zog externe Cybersicherheitsexperten hinzu und arbeitet weiterhin mit Oracle zusammen, um den Angriffsweg vollständig nachzuvollziehen. Außerdem plant Nissan, alle Personen zu benachrichtigen, deren Daten nach Abschluss der Untersuchung als betroffen eingestuft werden.

Das Nissan-Datenleck verdeutlicht die wachsende Bedrohung

Das Nissan-Datenleck zeigt, wie schwerwiegend Angriffe auf geschäftskritische Personal- und Gehaltssysteme sein können.

Unternehmen, die Oracle PeopleSoft einsetzen, sollten die neuesten Sicherheitsupdates installieren, internetexponierte Systeme auf Anzeichen unbefugter Aktivitäten überprüfen und Plattformen zur Verwaltung von Mitarbeiterdaten besonders sorgfältig überwachen. Das Nissan-Datenleck macht außerdem deutlich, wie schnell Angreifer neue Schwachstellen ausnutzen, wenn Unternehmen wichtige Sicherheitsupdates verzögern.