Dados de 21 mil clientes da Nissan vazam após invasão em servidor gerenciado pela Red Hat

A Nissan informou que dados pessoais de aproximadamente 21 mil clientes foram expostos após um acesso não autorizado a um servidor gerenciado pela Red Hat. O incidente afetou clientes que compraram veículos ou realizaram serviços na antiga Nissan Fukuoka Motor Co., atual Nissan Fukuoka Sales Co., no Japão.

Segundo comunicado oficial divulgado em dezembro, a invasão foi detectada em setembro, mas a montadora só foi formalmente notificada no início de outubro. Embora não haja indícios de roubo de dados financeiros ou cartões de crédito, informações sensíveis como nome, endereço, telefone, parte do e-mail e dados usados em atividades comerciais foram comprometidas.

A Nissan afirmou que, até o momento, não há confirmação de uso indevido das informações vazadas. Ainda assim, a empresa alertou os clientes para redobrar a atenção a ligações suspeitas, mensagens e correspondências, já que esse tipo de dado costuma ser explorado por hackers em campanhas de phishing e fraudes financeiras direcionadas.

Em nota, a montadora declarou que trata o incidente com seriedade e que irá reforçar o monitoramento de fornecedores terceirizados, além de implementar medidas adicionais para fortalecer sua postura de segurança da informação. A empresa também pediu desculpas públicas aos clientes afetados.

A Red Hat subsidiária da IBM já havia divulgado anteriormente que um terceiro não autorizado acessou e copiou dados de uma instância dedicada do GitLab, utilizada em serviços de consultoria. De acordo com a notificação da Nissan, a Red Hat identificou a atividade maliciosa em 26 de setembro e comunicou a montadora em 3 de outubro.

Embora nenhuma das empresas tenha atribuído oficialmente o ataque a um grupo específico, no início de outubro o Crimson Collective afirmou ter invadido repositórios privados da Red Hat e exfiltrado cerca de 570 GB de dados, incluindo documentos sensíveis de clientes. Posteriormente, o grupo alegou parceria com hackers ligados ao ShinyHunters para tentar extorquir a empresa.

Este é o terceiro grande vazamento envolvendo a Nissan em três anos. Em maio de 2024, a montadora confirmou o roubo de dados pessoais de mais de 50 mil funcionários da América do Norte, após um ataque direcionado ocorrido em 2023. Meses antes, a divisão da Oceania havia sido alvo do grupo ransomware Akira, que comprometeu informações de mais de 100 mil clientes.

O histórico reforça os desafios enfrentados por grandes organizações na gestão de riscos cibernéticos em cadeias de suprimentos, especialmente quando dados sensíveis dependem de ambientes terceirizados e plataformas colaborativas de desenvolvimento.

Via - TR