ShinyHunters bevestigt diefstal van 6 miljoen gegevens van Carnival-klanten na inbraak in april

Carnival heeft zes weken lang gezwegen. Nu heeft het bedrijf het voor de hand liggende bevestigd: ShinyHunters is er na een inbraak in april vandoor gegaan met de persoonlijke gegevens van bijna 6 miljoen klanten, en de groep had deze gegevens al online laten uitlekken.

De aanval was snel. Op 14 april zag het beveiligingsteam van Carnival dat er iets mis was met een account van één werknemer. Een social engineering-oproep was alles wat nodig was om binnen te geraken. Op 22 april bevestigden interne onderzoekers dat de aanvaller de gegevens al had gekopieerd en was vertrokken.

Wat er gestolen was

De gestolen gegevens variëren per individu, maar bevestigde categorieën omvatten namen, thuisadressen, e-mailadressen, telefoonnummers, geboortedata, rijbewijsnummers en paspoortnummers. Volgens de aangifte van Carnival bij , de procureur-generaal van Maine schat het aantal getroffen personen op iets minder dan 6 miljoen. ShinyHunters vermeldde eind april 8,7 miljoen records op zijn lekportaal, een cijfer dat ook gegevens bevat van het Mariner Society loyaliteitsprogramma van Holland America Line. Have I Been Pwned bevestigde de dataset. Carnival weigerde te betalen. De gegevens werden openbaar.

Een recidivist met een recurrent doelwit

Carnival is hier al eerder geweest. Een inbraak in 2019 bracht gegevens van ongeveer 180.000 klanten en werknemers aan het licht en eindigde met een boete van $1,25 miljoen. Een tweede incident volgde in 2021. De kennisgevingsbrieven van het bedrijf voor deze inbreuk gingen uit op 27 mei, zes weken nadat de inbraak begon.

ShinyHunters gaat niet langzamer. De groep heeft alleen al in 2026 een reeks grote doelwitten gekraakt, waarbij bedrijven telkens met hetzelfde draaiboek werden bestookt: kom binnen via een persoon, pak de gegevens, eis betaling, publiceer als er niets wordt gedaan. De FBI signaleerde het patroon eerder dit jaar nadat de groep zich op bedrijven richtte door Salesforce-omgevingen in gevaar te brengen. ADT en Mixpanel werden in hetzelfde campagnevenster aangevallen.

Inwoners van de VS van wie bevestigd is dat ze getroffen zijn, krijgen twee jaar gratis kredietbewaking aangeboden via TransUnion. Carnival zegt dat het de beveiligingscontroles na het incident heeft versterkt.