ShinyHunters megerősíti 6 millió Carnival ügyfélrekord ellopását az áprilisi jogsértés után

A karnevál hat hétig hallgatott. Most megerősítette a nyilvánvalót: a ShinyHunters egy áprilisi betörés után közel 6 millió ügyfél személyes adataival távozott, és a csoport már korábban is kiszivárogtatta azokat az interneten.

A támadás gyors volt. Április 14-én a Carnival biztonsági csapata észrevette, hogy valami nincs rendben egyetlen alkalmazott fiókjával. Egy social engineering hívás elég volt ahhoz, hogy bejussanak a rendszerbe. Április 22-re a belső nyomozók megerősítették, hogy a támadó már lemásolta az adatokat és távozott.

Mit loptak el

Az ellopott adatok egyénenként változnak, de a megerősített kategóriák között szerepelnek nevek, lakcímek, e-mail címek, telefonszámok, születési dátumok, jogosítványszámok és útlevélszámok. A Carnival beadványa a Maine állam főügyészéhez az érintettek számát 6 millió alá teszi. A ShinyHunters április végén 8,7 millió rekordot sorolt fel a kiszivárogtató portálján, amely szám a Holland America Line által működtetett Mariner Society hűségprogramhoz kapcsolódó adatokat is tartalmazza. A Have I Been Pwned megerősítette az adathalmazt. A Carnival elutasította a fizetést. Az adatok nyilvánosságra kerültek.

Ismétlődő elkövető, ismétlődő célponttal

A Carnival már járt itt korábban. Egy 2019-es betörés során nagyjából 180 000 ügyfél és alkalmazott adatai kerültek nyilvánosságra, és a végén 1,25 millió dolláros hatósági bírsággal sújtották. Egy második incidens következett 2021-ben. A vállalat a mostani betörésről szóló értesítő leveleket május 27-én küldte ki, hat héttel a behatolás kezdete után.

A ShinyHunters nem lassít. A csoport csak 2026-ban egy sor nagyobb célpontot tépett szét, és minden alkalommal ugyanazzal a módszerrel támadta meg a vállalatokat: egy személyen keresztül bejutni, megszerezni az adatokat, fizetést követelni, ha nem veszik figyelembe, közzétenni. Az FBI az év elején jelezte a mintát, miután a csoport a Salesforce-környezetek kompromittálásával célzott meg vállalatokat. Az ADT-t és a Mixpanelt ugyanabban a kampányidőszakban támadták meg.

Az érintettként megerősített amerikai lakosoknak a TransUnion kétéves ingyenes hitelfelügyeletet ajánl fel. A Carnival azt állítja, hogy az incidenst követően megerősítette a biztonsági ellenőrzéseket.