ShinyHunters confirma el robo de 6 millones de registros de clientes de Carnival tras la brecha de abril

Carnival guardó silencio durante seis semanas. Ahora ha confirmado lo obvio: ShinyHunters se hizo con los datos personales de casi 6 millones de clientes tras una brecha en abril, y el grupo ya los había estado filtrando en Internet.

El ataque fue rápido. El 14 de abril, el equipo de seguridad de Carnival detectó que algo iba mal en la cuenta de un solo empleado. Bastó una llamada de ingeniería social para entrar. El 22 de abril, los investigadores internos confirmaron que el atacante ya había copiado los datos y se había marchado.

Lo robado

Los registros robados varían según la persona, pero las categorías confirmadas incluyen nombres, direcciones particulares, direcciones de correo electrónico, números de teléfono, fechas de nacimiento, números de carné de conducir y de pasaporte. La presentación de Carnival en El fiscal general de Maine sitúa el recuento de afectados en algo menos de 6 millones. ShinyHunters enumeró 8,7 millones de registros en su portal de filtraciones a finales de abril, una cifra que incluye datos vinculados al programa de fidelización Mariner Society de Holland America Line. Have I Been Pwned confirmó el conjunto de datos. Carnival declinó pagar. Los datos se hicieron públicos.

Un delincuente reincidente con un objetivo reincidente

Carnival ya ha estado aquí antes. Una filtración en 2019 expuso datos de unos 180.000 clientes y empleados y acabó con una multa reglamentaria de 1,25 millones de dólares. Le siguió un segundo incidente en 2021. Las cartas de notificación de la empresa por esta violación se enviaron el 27 de mayo, seis semanas después de que comenzara la intrusión.

ShinyHunters no baja el ritmo. El grupo ha desgarrado una serie de objetivos importantes sólo en 2026, golpeando a las empresas con el mismo libro de jugadas cada vez: entrar a través de una persona, obtener los datos, exigir el pago, publicar si se ignora. El FBI señaló el patrón a principios de este año después de que el grupo atacara a empresas a través de compromisos de entornos de Salesforce. ADT y Mixpanel fueron atacadas en la misma ventana de campaña.

A los residentes en EE.UU. confirmados como afectados se les están ofreciendo dos años de monitorización gratuita de su crédito a través de TransUnion. Carnival afirma que ha reforzado los controles de seguridad tras el incidente.