日産、Red Hatの侵害で数千人の顧客に影響があったと発表

日本の自動車大手である日産は、第三者によるサプライチェーン攻撃の結果、数千人分の機微なデータを失ったことを確認した。

同社はプレスリリースで、日産の販売会社の一つである日産福岡販売株式会社向けの顧客管理システムを開発するために日産から委託されていたことから、最近のRed Hatへの攻撃が同社の顧客にも影響したと述べた。

9月下旬、Red Hatは不正アクセスを検知し、その後の調査で、28,000の非公開GitLabリポジトリから数百GBに及ぶ機微なデータが盗まれたことが判明した。

Crimson CollectiveとShinyHunters

Red Hatは攻撃者を排除し、2025年10月上旬に日産へ通知した。車両を購入した、またはサービスを受けた約21,000人の顧客について、住所、氏名、電話番号、メールアドレスの一部が漏えいしたという。

販売活動で使用される顧客関連情報も盗まれたが、クレジットカード情報やその他の銀行関連データは盗まれていない。

日産は機械翻訳された発表の中で「お客様および関係者の皆様にご迷惑とご心配をおかけしましたことを深くお詫び申し上げます」と述べ、影響を受けた個人に連絡すると強調した。

日産はさらに、犯人は侵害されたサーバー上で見つけたものをすべて持ち去ったと説明し、「これ以上の情報漏えいのリスクはない」と強調した。

同社によれば、現時点では盗まれたファイルが外部で悪用された証拠はないものの、特に自動車メーカーを装ったものを含め、受信するメールやその他の連絡には注意するよう顧客に呼びかけた。

日産は攻撃者の名前を挙げなかったが、BleepingComputerは、Crimson Collectiveと呼ばれるグループによる犯行だと主張している。その直後、悪名高いShinyHuntersも、盗まれたファイルのサンプルを自らの恐喝プラットフォームに掲載した。