Η Nissan Oceania ειδοποιεί 100.000 άτομα ότι η παραβίαση δεδομένων τον Δεκέμβριο του 2023 αποκάλυψε τα προσωπικά τους στοιχεία.
Η θυγατρική της ιαπωνικής αυτοκινητοβιομηχανίας Nissan με έδρα τη Νέα Ζηλανδία και την Αυστραλία δήλωσε ότι εντόπισε «μη εξουσιοδοτημένη πρόσβαση» στους τοπικούς διακομιστές πληροφορικής της στις 5 Δεκεμβρίου 2023. Απάντησε ειδοποιώντας τις αρχές επιβολής του νόμου, τις ρυθμιστικές αρχές απορρήτου και τα εθνικά κέντρα ασφάλειας στον κυβερνοχώρο.
Η αυτοκινητοβιομηχανία ξεκίνησε επίσης μια επανεξέταση του περιστατικού κυβερνοασφάλειας με τη συμμετοχή κυβερνητικών υπηρεσιών και εξωτερικού εμπειρογνώμονες εγκληματολογίας στον κυβερνοχώρο για να καθορίσει το εύρος και τις επιπτώσεις.
Η παραβίαση δεδομένων της Nissan διέρρευσε ευαίσθητες πληροφορίες για 100 χιλιάδες Αυστραλούς και Ακτινίδια
Η έρευνα διαπίστωσε ότι το περιστατικό στον κυβερνοχώρο επηρέασε τους πελάτες της Nissan και εκείνους ανταγωνιστικών χρηματοοικονομικών επιχειρήσεων που λειτουργούν από τη Nissan στην Αυστραλία και τη Νέα Ζηλανδία.
«Η Nissan αναμένει να ειδοποιήσει επίσημα περίπου 100.000 άτομα για την παραβίαση στον κυβερνοχώρο τις επόμενες εβδομάδες», είπε η εταιρεία, προσθέτοντας ότι ο εκτιμώμενος αριθμός θα μπορούσε να μειωθεί μετά την επικύρωση και την κατάργηση των αντιγράφων. «Αυτός ο αριθμός ενδέχεται να μειωθεί καθώς τα στοιχεία επικοινωνίας είναι επικυρώθηκαν και τα διπλά ονόματα αφαιρούνται από τη λίστα.”
Αν και η φύση των πληροφοριών που διέρρευσαν διέφερε για κάθε άτομο, θα μπορούσε να περιλαμβάνει επίσημα στοιχεία ταυτότητας για ένα μικρό υποσύνολο θυμάτων παραβίασης δεδομένων και προσωπικές πληροφορίες για την πλειοψηφία.
“Οι τρέχουσες εκτιμήσεις είναι ότι έως και το 10% των ατόμων έχουν παραβιαστεί κάποια μορφή κρατικής ταυτότητας. Το σύνολο δεδομένων περιλαμβάνει περίπου 4.000 κάρτες Medicare, 7.500 άδειες οδήγησης, 220 διαβατήρια και 1.300 αριθμούς φορολογικού φακέλου”, είπε η αυτοκινητοβιομηχανία.
Το υπόλοιπο 90% των θυμάτων «είχαν επηρεαστεί κάποια άλλη μορφή προσωπικών πληροφοριών; συμπεριλαμβανομένων αντιγράφων καταστάσεων συναλλαγών που σχετίζονται με δάνεια για λογαριασμούς δανείων, πληροφορίες απασχόλησης ή μισθού ή γενικές πληροφορίες, όπως ημερομηνίες γέννησης.»
Η Nissan Oceania υποσχέθηκε να ειδοποιήσει περίπου 100.000 άτομα για την παραβίαση δεδομένων τις επόμενες εβδομάδες, συμπεριλαμβανομένων των πελατών των χρηματοοικονομικών επιχειρήσεων της Mitsubishi, Renault, Skyline, Infiniti, LDV και RAM.
Ενώ το πού βρίσκονται οι κλεμμένες πληροφορίες παραμένει μυστήριο, η Nissan Oceania έχει προσφέρει δωρεάν υπηρεσίες κλοπής ταυτότητας και παρακολούθησης πιστώσεων για 12 μήνες για να προστατεύσει τα θύματα παραβίασης δεδομένων από απάτη.
“Είναι υπέροχο να βλέπεις ότι βοηθούν τους υπαλλήλους παρέχοντάς τους δωρεάν πιστωτικές υπηρεσίες, αλλά τι θα γινόταν αν οι εταιρείες εφάρμοζαν μια προληπτική προσέγγιση αντί να αντιδρούν σε κυβερνοεπιθέσεις; Τα βασικά μαθήματα που αντλήθηκαν από αυτήν την επίθεση υπογραμμίζουν τον ζωτικό ρόλο των προληπτικών μέτρων κυβερνοασφάλειας που βασίζονται σε πληροφορίες », δήλωσε ο Jess Parnell, CISO στο Centripetal.
Εν τω μεταξύ, η αυτοκινητοβιομηχανία δεν έχει αποδώσει την παραβίαση δεδομένων σε κανέναν κυβερνοχώρο. Ωστόσο, η συμμορία ransomware Akira ανέλαβε την ευθύνη για την επίθεση, λέγοντας ότι έκλεψε 100 GB δεδομένων, που φέρεται να περιείχαν «NDA, έργα, [and] πληροφορίες για πελάτες και συνεργάτες κ.λπ.».
Η Nissan Oceania δεν αποκάλυψε τον φορέα επίθεσης που εκμεταλλεύτηκε η ύποπτη συμμορία ransomware Akira κατά τη διάρκεια της επίθεσης.
«Θα ήταν ενδιαφέρον να μάθουμε πώς η ομάδα ransomware Akira απέκτησε μη εξουσιοδοτημένη πρόσβαση και ποια μέτρα λαμβάνει η Nissan για να το αποτρέψει από το να συμβεί ξανά, τουλάχιστον χρησιμοποιώντας την ίδια μέθοδο επίθεσης», δήλωσε ο Roger Grimes, Data-Driven Defense Evangelist στο KnowBe4. «Η Akira είναι αρκετά γνωστή για τις επιθέσεις χρησιμοποιώντας μη επιδιορθωμένο λογισμικό δημόσιας προβολής. Ήταν αυτό σε αυτήν την περίπτωση; Και αν ναι, ποια μέτρα λαμβάνει η Nissan για να αποτρέψει την εκμετάλλευση μη επιδιορθωμένου λογισμικού στο μέλλον;»
Από την πρώτη της ανίχνευση τον Μάιο του 2023, η συμμορία ransomware Akira είχε θύματα πάνω από 81 οργανισμούς μέχρι τον Φεβρουάριο του 2024, ειδικά οργανισμούς υγειονομικής περίθαλψης των ΗΠΑ, πανεπιστήμια και κολέγια και σχολεία K12. Η ομάδα αποδόθηκε πρόσφατα στην επίθεση ransomware του Πανεπιστημίου του Στάνφορντ που παραβίασε πληροφορίες 27.000 ατόμων.
Οι αυτοκινητοβιομηχανίες στοχοποιούνται από επιθέσεις στον κυβερνοχώρο
Εκτός από το Akira, άλλοι εγκληματίες του κυβερνοχώρου στοχεύουν επίσης συχνά κατασκευαστές οχημάτων για να κλέψουν ευαίσθητες προσωπικές πληροφορίες που αποθηκεύονται από τα τμήματα πωλήσεων, οικονομικών και σέρβις τους.
Καθώς οι πρακτικές τους στον κυβερνοχώρο υστερούν σε σχέση με τις τεχνολογικές προόδους, οι αυτοκινητοβιομηχανίες επηρεάζονται επίσης από πολυάριθμες ευπάθειες στον κυβερνοχώρο που οδηγούν σε παραβιάσεις δεδομένων.
«Η Nissan είναι ένας από τους πιο αναγνωρίσιμους κατασκευαστές αυτοκινήτων στον κόσμο και το να χτυπηθεί από επίθεση ransomware είναι ατυχές, αλλά δεν προκαλεί έκπληξη», σημείωσε ο Corin Imai, Senior Security Advisor στο DomainTools. «Οι τεράστιες επωνυμίες κατακλύζουν όλο και περισσότερο τις ειδήσεις ως θύματα επιθέσεων στον κυβερνοχώρο και παραβιάσεων δεδομένων καθώς οι συμμορίες ransomware εκμεταλλεύονται».
Τον Νοέμβριο του 2023, η Toyota ανέφερε μια κυβερνοεπίθεση που επηρέασε τα τμήματα χρηματοοικονομικών υπηρεσιών της στην Ευρώπη και την Αφρική. Τον Μάιο του 2023, η Toyota ανέφερε μια διαρροή δεδομένων από μια εσφαλμένη διαμόρφωση του cloud που εξέθεσε τα δεδομένα οχημάτων 2 εκατομμυρίων ιδιοκτητών αυτοκινήτων για πάνω από μια δεκαετία.
