A Nissan sofreu uma violação de dados em novembro passado em um ataque de ransomware que expôs os números do Seguro Social de milhares de ex-funcionários e atuais, disse a montadora japonesa na quarta-feira.
A subsidiária da Nissan com sede nos EUA, Nissan North America, detalhou o ataque cibernético em 15 de maio. cartas aos indivíduos afetados. Na carta, a Nissan North America disse que um malfeitor atacou a rede privada virtual de uma empresa e exigiu pagamento. A Nissan não indicou se pagou o resgate.
“[U]Ao tomar conhecimento do ataque, a Nissan notificou prontamente as autoridades e começou a tomar medidas imediatas para investigar, conter e encerrar com sucesso a ameaça”, disse a montadora na carta, acrescentando que “a Nissan trabalhou em estreita colaboração com profissionais externos de segurança cibernética com experiência no tratamento destes tipos de incidentes de segurança complexos.”
A Nissan contou aos funcionários sobre o incidente durante uma reunião na prefeitura em dezembro de 2023, um mês após o ataque. A empresa também disse aos funcionários que estava iniciando uma investigação e notificaria os funcionários em particular se suas informações pessoais tivessem sido comprometidas. A Nissan disse que está fornecendo serviços gratuitos de proteção contra roubo de identidade para indivíduos afetados por dois anos.
Nissan América do Norte também notificado funcionários estaduais em todos os EUA sobre o ataque, observando que dados pertencentes a mais de 53.000 trabalhadores atuais e ex-trabalhadores foram comprometidos. Mas a empresa disse sua investigação descobriu que os indivíduos afetados não tiveram suas informações financeiras expostas.
A Nissan North America “não tem indicação de que qualquer informação tenha sido mal utilizada ou tenha sido o alvo pretendido do ataque”, disse a montadora em sua carta.
Ataques de ransomware, nos quais os cibercriminosos desativar os sistemas de computador de um alvo ou roubar dados e depois exigir pagamento para restaurar o serviço tornaram-se cada vez mais comuns. Um especialista em segurança cibernética disse que alguém provavelmente obteve uma senha ou código de autenticação multifatorial de um funcionário existente da Nissan, permitindo que o hacker entrasse através da VPN da empresa.
“É lamentável que a violação tenha envolvido informações pessoais, no entanto, a Nissan fez a coisa certa ao continuar a investigar o incidente e relatar a atualização”, disse Erich Kron, defensor da conscientização sobre segurança cibernética da KnowBe4, à CBS MoneyWatch em comunicado por e-mail. “Nesse caso, direcionar a VPN muitas vezes ajudará os malfeitores a evitar a detecção e a contornar muitos dos controles de segurança organizacionais existentes”.
