日産、従業員の給与・口座・社会保障番号が流出した可能性を公表

OracleのPeopleSoftを標的としたゼロデイ攻撃の波紋が、大学から民間企業に広がった。日産北米法人が従業員データの侵害をカリフォルニア州司法長官局に届け出た。自社システムは破られていない。使っていたソフトウェアが破られた。

「数百社が標的になった攻撃で、日産は名指しされた」

日産北米法人（Nissan Americas）は現地時間6月25日付でカリフォルニア州司法長官局にデータ侵害通知を提出した。通知によれば、日産はOracleから「サイバー事象が発生し、数百社の人事記録が脅威アクターに取得された可能性がある」との連絡を受けた。その後、日産がこの攻撃で名指しの標的にされていたことが判明したという。

侵害期間は2026年5月27日から6月9日。日産がPeopleSoftで管理していた従業員情報には、給与、税務管理、人事記録が含まれる。

盗まれた可能性のあるデータは広範囲に及ぶ。連絡先情報、銀行口座情報、社会保障番号（米国）、社会保険番号（カナダ）、国民識別番号、財務・税務情報、扶養家族・受取人の情報。米国・カナダ・メキシコ・ブラジルの現職および元従業員が影響を受ける可能性があるが、日産は対象人数を公表していない。

日産の自衛策と、残された空白

日産はインシデントレスポンスを発動し、外部のサイバーセキュリティ専門家を起用、Oracleおよび法執行機関と連携して調査を進めている。

追加の予防措置にも踏み込んでいる。給与明細の閲覧や振込先の変更を社内ネットワークまたはVPN接続に限定し、給与関連の処理に追加の本人確認を求めるようにした。信用監視とダークウェブ監視サービスも対象者に提供する。

VPN経由に限定した背景には、盗まれたデータが即座に悪用される想定がある。銀行口座情報と社会保障番号の組み合わせは、振込先の不正変更から税務詐欺まで、直接的な金銭被害に結びつく。

空白もある。影響を受けた従業員の数を日産は明かしていない。Oracleが日産に侵害を通知した時期も、PeopleSoftのインスタンスがOracle管理だったのか日産の自社運用だったのかも、開示がない。

PeopleSoftゼロデイ事件の全体像

今回の日産の公表は、6月上旬から続くPeopleSoftゼロデイ攻撃キャンペーンの延長線上にある。

サイバー犯罪グループShinyHuntersは、PeopleSoftの環境管理コンポーネントに存在する脆弱性CVE-2026-35273（CVSSスコア9.8、認証不要・リモートコード実行）を悪用し、100以上の組織に侵入したと主張している。Mandiantは5月27日から6月9日にかけてゼロデイ攻撃が行われたことを確認しており、この期間は日産の侵害期間と完全に一致する。

OracleがCVE-2026-35273の緊急セキュリティ勧告を出したのは6月10日。攻撃はパッチどころか勧告すらない状態で14日間にわたって実行された。

ShinyHuntersのやり方は一貫している。広く導入されたエンタープライズソフトウェアの脆弱性を見つけ、そのソフトを利用する組織を片端から侵害し、データを盗んで身代金を要求する。過去にはSnowflake、Salesforce、InstructureのCanvasが標的になった。PeopleSoftは4つ目の大規模キャンペーンにあたる。

広がる被害公表

日産に先立ち、全米保険監督官協会（NAIC）も同じPeopleSoftキャンペーンによる侵害を公表している。ShinyHuntersはNAICから3.1TBのデータを盗んだと主張したが、NAIC側は流出したのは既に公開されている法定財務報告書や格付けデータ、古いログ・設定ファイルにとどまるとし、個人情報や決済情報へのアクセスは否定した。ShinyHuntersは後に自らの初期声明を修正し、一部の主張が「AI生成による誤解釈」に基づいていたと認めている。

ノッティンガム大学では45万4600人の学生データがリークサイトに公開された。氏名、住所、電話番号、民族、障害の有無、パスポート番号、学費の支払い情報が含まれていた。

教育機関、自動車メーカー、規制当局。被害を公表した組織の顔ぶれが、PeopleSoftがどれほど広い業種で人事・財務の中核を担っているかを映している。

日産にとって「4度目」の侵害

日産がデータ侵害を公表するのは、直近3年で4度目になる。2023年11月にはVPNへの標的型攻撃で5万3000人の従業員情報が漏洩し、150万ドル（約2億4000万円）の集団訴訟和解に至った。2024年にはオーストラリアとニュージーランドで顧客・従業員約10万人分のデータが流出。2025年には委託先が不正アクセスを受け、福岡の顧客約2万1000人の個人情報が外部に出た。

今回の侵害は、日産のシステムが直接攻撃されたわけではない。Oracleが提供するソフトウェアのゼロデイ脆弱性が原因であり、日産に防ぐ手段があったかどうかは、PeopleSoftのインスタンスがどのように運用されていたかに依存する。ただし、3年で4度の侵害通知を受け取る従業員側から見れば、原因がVPNであれ委託先であれOracleであれ、自分の情報が守られなかったという事実に変わりはない。

Oracleはこの件について公の場でほとんど発言していない。CVE-2026-35273が実際に攻撃に使われたかどうかすら、自社の勧告では明言していない。数百社が巻き込まれたキャンペーンの中心にいながら沈黙を続ける姿勢が、被害組織をそれぞれ単独で説明の矢面に立たせている。

参照元: Submitted Breach Notification Sample

関連記事

• OracleのPeopleSoftに深刻度9.8のゼロデイ。100超の組織が標的に
• Canvas LMS侵害で米大学の期末試験が機能停止
• Rockstar再び侵害、ShinyHuntersが4月14日期限で身代金要求
• Defenderのゼロデイ「RoguePlanet」にCVE割り当て。パッチはまだない
• Defender自身がBitLockerを破る。8本目のゼロデイGreatXML
• Defenderの新たなゼロデイ「RoguePlanet」、月例パッチ当日に投下
• Chromeに今年5件目の実悪用ゼロデイ、V8に脆弱性
• 生成AIへの「依存」、責任はどこにあるのか
• Microsoftが折れた、ゼロデイ騒動の裏側
• Androidに標的型ゼロデイ攻撃、6月の更新で124件修正