ShinyHunters confirma roubo de 6 milhões de registros de clientes da Carnival após violação em abril

A Carnival permaneceu em silêncio por seis semanas. Agora, a empresa confirmou o óbvio: a ShinyHunters fugiu com os dados pessoais de quase 6 milhões de clientes após uma violação em abril, e o grupo já havia vazado esses dados on-line.

O ataque foi rápido. Em 14 de abril, a equipe de segurança da Carnival detectou algo errado em uma única conta de funcionário. Uma chamada de engenharia social foi tudo o que o senhor precisou para entrar na conta. Em 22 de abril, os investigadores internos confirmaram que o invasor já havia copiado os dados e ido embora.

O que foi roubado

Os registros roubados variam de acordo com o indivíduo, mas as categorias confirmadas incluem nomes, endereços residenciais, endereços de e-mail, números de telefone, datas de nascimento, números de carteira de motorista e números de passaporte. O registro da Carnival no site O procurador-geral do Maine coloca o número de afetados em pouco menos de 6 milhões. O ShinyHunters listou 8,7 milhões de registros em seu portal de vazamentos no final de abril, um número que inclui dados vinculados ao programa de fidelidade Mariner Society administrado pela Holland America Line. O Have I Been Pwned confirmou o conjunto de dados. A Carnival se recusou a pagar. Os dados se tornaram públicos.

Um infrator reincidente com um alvo reincidente

A Carnival já esteve aqui antes. Uma violação em 2019 expôs dados pertencentes a cerca de 180.000 clientes e funcionários e terminou com uma multa regulatória de US$ 1,25 milhão. Um segundo incidente ocorreu em 2021. As cartas de notificação da empresa para essa violação foram enviadas em 27 de maio, seis semanas após o início da invasão.

O ShinyHunters não diminui o ritmo. O grupo destruiu uma série de alvos importantes somente em 2026, atingindo as empresas sempre com o mesmo manual: entrar por meio de uma pessoa, obter os dados, exigir pagamento e publicar se for ignorado. O FBI identificou o padrão no início deste ano, depois que o grupo atacou empresas por meio do comprometimento de ambientes Salesforce. A ADT e a Mixpanel foram atingidas na mesma janela de campanha.

Os residentes dos EUA confirmados como afetados estão recebendo dois anos de monitoramento de crédito gratuito por meio da TransUnion. A Carnival afirma ter reforçado os controles de segurança após o incidente.