日産自動車の北米ディーラー向け委託先ベンダーへの不正アクセス（Everestが910GB・250万件を主張）
公表日
日産自動車の北米ディーラー向けサービスを担う委託先ベンダーが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受けたと、攻撃グループが主張しています。主張の規模は最大910GB・250万件ですが、確認された件数は公表されていません。
対象者は？
北米の日産・インフィニティのディーラー向けサービスに関わる情報が対象とされています。250万件は攻撃グループの主張で、確認された人数は公表されていません。日産は顧客情報にアクセスされた証拠はないとしています。支払い情報や車両オーナーのデータが含まれる証拠は、現時点でないと報じられています。
日産から個別の通知が届いたかどうかは、まだ発表されていません。公式の確認窓口も、提供された情報にはありません。
何が起きたのか
2026年1月10日、攻撃グループ「Everest」が、日産のデータを約900GB盗んだと主張しました。後の報道では910GBで、顧客の個人情報250万件を含むとされています。報道によれば、侵入は1月5日で、日産の北米ディーラー向けサービスを担う外部ベンダーのファイル転送サーバーからだと主張されています。4月1日、日産は、問題はベンダーとそこから提供された情報に限られ、日産のシステムや顧客情報が侵害された証拠はないと説明しました。
なぜ起きたのか・なぜ広がったのか
攻撃グループは、ログイン情報が2023年9月から公開状態だったと主張しています。パスワードが長く変更されておらず、多要素認証もなかったとも主張していますが、確認はされていません。日産は技術的な詳細を公表していません。
いまの状況2026-04-16 時点続報待ち
2026年4月16日時点の情報では、影響人数、ベンダー名、顧客への通知状況はまだ発表されていません。攻撃グループの主張は第三者による検証がされていません。セキュリティ対策Labは、公開サンプルから個人情報を直接示すファイルは確認できないとしています。事業への支障は確認されていません。
企業として考えたいこと
自社が取引先に渡している情報と、その取引先が公開しているサーバーの認証の強さを、すぐに説明できるでしょうか。
技術的な要約
2026年1月10日、Everestがダークウェブのリークサイトに日産自動車を掲載し、約900GB（後の報道では910GB・180,000ファイル超・顧客個人情報250万件）の窃取を主張した。報道ではEverestは同年1月5日に第三者ベンダーのファイル転送システム（GCSSD FTPサーバー）に侵入したとされ、2023年9月から公開状態だった認証情報を使ったとEverest側が主張している。サンプルには北米（特にカナダ）のディーラー関連の業務データが見られたが、セキュリティ対策Labは氏名・住所・クレジットカード番号等を直接示すファイルは確認できないとしている。日産は2026年4月1日、インシデントはベンダーとそこから提供された情報に限定され、日産のシステム侵害や顧客情報へのアクセスの証拠はないと声明した。影響人数・ベンダー名・通知状況は未公表で、Everestの主張は独立検証されていない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 委託先経由攻撃者の主張Everestは、日産・インフィニティの北米ディーラーネットワーク向けサービスを提供する第三者ITベンダーのGCSSD FTPサーバーから侵入したと主張。8組のログイン情報が2023年9月以降30以上の漏洩データベース上で公開状態だったものを収集・使用し、パスワードは3年以上変更されずMFAもなかったと主張している。日産は自社システムの侵害を否定し、ベンダーに限定された事案とした。主張は独立検証されていない。
- 脆弱性
- CVE 非公表攻撃者の主張第三者ベンダーのGCSSD FTPサーバー（ベンダー名非公表）CVEは示されていない。Everestは、認証情報が2023年9月から公開状態で、パスワード未変更・インターネット公開インフラにMFA未設定だったと主張。
- 攻撃者
- Everest 被害組織の言及なし日産から約900GB（後の報道では910GB・180,000ファイル超・250万件の顧客個人情報、2013年〜2026年1月分）を窃取したと主張。当初5日の応答期限を設け、3月末に交渉ログ全文と追加サンプルを公開し、4月3日に全データ公開と最終通告した。
- ATT&CK
影響
- 業務停止
- なし 事業運営・製造拠点・顧客サービスに支障が出た兆候は確認されていない（2026年1月時点の報道）。
- データ
- おそれ上限 2,500,000確定 —件業務データ取引先情報250万件の顧客個人情報はEverestの主張で未検証。日産は顧客情報にアクセスされた証拠はないとしている。サンプルはマーケティング・販売記録、ディーラー発注、検証レポート、保証分析等の業務データで、カナダ中心、一部米国ディーラー名を含む。支払い情報・車両オーナーデータ・ディーラー顧客記録が含まれる証拠は現時点でない。報道間で主張量が900GBと910GBで異なる。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 日産・インフィニティの北米ディーラーネットワーク向けサービスを提供する第三者ITベンダーのGCSSD FTPサーバーが侵入経路と主張されている。日産はインシデントがベンダーとそこから提供された情報に限定されたと説明。ベンダー名は非公表。
時系列
- 2023-09
- 2026-01-05報道のタイムラインによれば、Everestが第三者ベンダーのファイル転送システムに侵入した。5
- 2026-01-10
- 2026-01-12
- 2026-01-13
- 2026-03Everestの主張によれば、日産が応じなかったため3月末に交渉ログ全文と追加サンプルを公開し、4月3日に全データを公開すると最終通告した。4
- 2026-04-01
- 2026-04-03日産が第三者ベンダーが関与するデータ侵害を確認し、顧客データが危険にさらされた兆候はないと述べたと報じられた。Everestは身代金要求が満たされなければデータを公開すると警告していた。5
- 2026-04-16セキュリティ対策Labが、公開サンプルのフォルダ名等から日産本体の最新の機微情報や個人情報は見当たらないとする記事を公開した。4
技術解説
公表されている事実の範囲 事実
2026年1月10日、Everestがダークウェブのリークサイトに日産自動車を掲載し、約900GBの窃取を主張した。後の報道では910GB、180,000ファイル超、顧客個人情報250万件（2013年〜2026年1月分）とされる。侵入経路として主張されたのは、日産・インフィニティの北米ディーラーネットワーク向けサービスを提供する第三者ITベンダーのGCSSD FTPサーバーである。日産は2026年4月1日、The Recordの取材に対し、インシデントはベンダーとそこから提供された情報に限定され、日産のシステム侵害や顧客情報へのアクセスの証拠は見つかっていないと声明した。影響人数、ベンダー名、顧客への通知状況は公表されていない。
主張と検証状況の区別 事実
250万件や910GBといった数字はいずれもEverest側の主張であり、報道は独立した第三者による検証がなされていないと述べている。サンプルについては、マーケティング・販売記録、ディーラー発注、検証レポート、保証分析、各種通信といった業務データが写っていたと報じられた。ファイルはカナダの拠点に関するものが多く、米国のディーラー名の一覧も含まれていた。セキュリティ対策Labは、公開画像のフォルダ名やスクリーンショットの範囲では、氏名・住所・クレジットカード番号等を直接示すファイルは見当たらないとしている。支払い情報、車両オーナーデータ、ディーラーの顧客記録が含まれる証拠は現時点でないとも報じられている。ファイル数についても、報道間で内訳の記載が異なる。
委託先経由という構造と主張された侵入手口 事実
Everestは、8組のログイン情報が2023年9月以降30以上の漏洩データベースで公開状態にあり、それを収集して使用したと主張している。あわせて、パスワードが少なくとも3年間変更されず、インターネットに公開された基盤にMFAがなかったとも主張している。これらは攻撃者側の主張であり、日産もベンダーも詳細を公表していない。また、報道には、Everestの一般的な手口（弱い認証情報や盗まれた認証情報、内部者の勧誘、リモートアクセスツール）を述べたものがあるが、本件の確認済みの侵入経路とは区別が必要である。侵入日の2026年1月5日は報道のタイムラインによるもので、公式発表ではない。
公表の評価と不確実性 解釈
日産の説明は、被害をベンダー側に限定するものだが、ベンダーが保有していた情報の中身や件数は示されていない。1月の時点では日産は声明を出しておらず、4月1日に取材への回答として初めて見解が示された。この間、攻撃者側の主張が先行して報じられた形である。本件が委託先の問題として整理されても、日産が提供した情報がどこまで含まれるかは外部から判断できない。そのため、250万件という数字が個人情報の件数なのか、ファイルや記録の件数なのかも不明である。こうした点から、現時点で影響規模を断定することは難しい。以上は公開情報に基づく筆者の解釈であり、日産やベンダーの対応の良否を断じるものではない。
対応
- 封じ込め
- 日産は調査の結果、インシデントはベンダーとそこから提供された情報に限定されていると説明。具体的な遮断措置は公表されていない。
- 公表の仕方
- 日産は2026年1月時点で声明を出さず、2026年4月1日にThe Recordの取材に対して声明した。影響人数・ベンダー名・顧客への通知状況は未公表。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 委託先が運用するFTPなど、ファイル交換の入口が攻撃の起点として主張されている。 | 委託先の外部公開サービスを棚卸しし、FTPはSFTP化とIP制限を行い、MFAまたは証明書認証を必須にする。契約で認証要件を明記し、定期的に遵守を確認する。 |
| 漏洩データベース上の認証情報が長期間使える状態だったと主張されている。 | 漏洩認証情報の監視サービスで自社・委託先のドメインを監視し、検知時に即座にパスワードを失効させる。サービスアカウントも含めて90日以内などの定期ローテーションを自動化する。 |
| 主張が先行し、公式見解が約3か月後になった。 | リークサイト掲載を検知する監視体制と、主張段階で出す暫定声明の雛形を準備する。事実確認中の範囲を明示する手順を事前に決めておく。 |
| 委託先に渡したデータの範囲や保管期間が外部から見えない。 | 委託先へ提供するデータを最小化し、保管期限と削除を契約に定める。ファイル転送の送受信ログを自社でも保持し、件数を短期間で突合できるようにする。 |
| 件数や容量の数字が報道間で異なり、確定と主張が混在しやすい。 | 公表資料では「主張」「報道」「確認済み」を区別して記録する。内部ではデータ分類別の推定件数を早期に算出するスクリプトとログ保全手順を用意する。 |
自組織などでの確認項目
- 自組織の委託先が運用する外部公開のファイル転送サービスは何件あり、それぞれ多要素認証や接続元制限が設定されているか。
- 委託先に渡しているデータの種類・期間・保管場所を、自組織で一覧にして説明できるか。
- 自組織や委託先の認証情報が漏洩データベースに載っていないか、継続的に確認する仕組みがあるか。
- 攻撃者がリークサイトに自組織を掲載した場合、何時間以内に事実確認し、どの範囲まで声明を出す手順になっているか。
未解明点
- ベンダー名と、GCSSD FTPサーバーに保存されていた情報の実際の内容・件数は公表されていない。
- Everestが主張した認証情報の使用や、MFA未設定の状況が事実かどうかは確認されていない。
- 250万件の内訳（個人情報か、レコードか、ファイルか）と、日本を含む北米以外のデータが含まれるかは不明である。
- 顧客への通知や当局への届出が行われたかどうかは公表されていない。
- 4月3日に予告された全データ公開が実際に行われたかは、提供された情報では確認できない。
出典
- 1Rankiteo Blog2026-01-10報道本文確認済
- 2Botcrawl2026-01-11報道本文確認済
- 3CertPro2026-01-13報道本文確認済
- 4セキュリティ対策Lab（合同会社ロケットボーイズ）2026-04-16報道本文確認済
- 5ThreatCluster (Scworld記事の要約)2026-04-04報道本文確認済
- 6Cryptika Cybersecurity (原典: cybersecuritynews.com)2026-01-12報道本文確認済
- 7Cyber Daily2026-01-13報道本文確認済
- 8teiss2026-01-13報道本文確認済