Carnival Corporation, mit über 160.000 Mitarbeitern und einem jährlichen Umsatz von über 26 Milliarden Dollar einer der weltweit größten Reisekonzerne, bestätigt nun offiziell den Cyberversttoß. Das Unternehmen setzte mehr als 5,99 Millionen Kunden darüber in Kenntnis, dass Betrüger deren persönliche Informationen gestohlen haben. Wie das Unternehmen in seinen Benachrichtigungsschreiben erklärte, gelang es einem Angreifer am 10. April 2026, mittels Social Engineering einen Mitarbeiter zu täuschen und sich Zugang zu begrenzten Teilen der IT-Infrastruktur zu verschaffen. Das Sicherheitsteam entdeckte die unbefugte Aktivität erst am 14. April und sperrte den Zugriff sofort ab. Am 22. April stellte man fest, dass Daten kopiert worden waren.
Die Hackergruppe ShinyHunters reklamierte die Verantwortung für sich, gab aber an, über 8,7 Millionen Datensätze und terabyteweise interne Unternehmenskommunikation erbeutet zu haben. Der Datenleck-Analysedienst Have I Been Pwned bestätigte, dass die gestohlenen Daten insbesondere Informationen des Holland-America-Treueprogramms – einer weiteren Marke unter Carnival – enthielten, darunter Namen, Geburtsdaten, Geschlechtsangaben und Loyalitätsstatus-Daten.
Für deutsche Betroffene ist das Incident besonders relevant, weil AIDA Cruises – eine der beliebtesten Kreuzfahrtlinien im deutschsprachigen Raum – zur Carnival-Gruppe gehört. Das BSI empfiehlt betroffenen Nutzern, ihre Daten zu überwachen und auf verdächtige Aktivitäten zu achten.
ShinyHunters hat sich in den letzten Monaten als aggressive Cyberkriminelle-Gruppe etabliert. Das FBI warnte Opfer der Gruppe zwei Wochen zuvor, keine Lösegelderpressungen zu bezahlen – eine Zahlung garantiere nicht, dass die Daten nicht weiterverkauft oder zu weiteren Erpressungsversuchen verwendet werden.
Carnival ist kein Unbekannter in der Datenpanne-Statistik: Das Unternehmen meldete bereits Sicherheitsvorfälle in März 2020 und Juni 2021, bei denen Kundendaten sowie Informationen von Mitarbeitern und Crew-Mitgliedern kompromittiert wurden. Ransomware-Gangs drangen auch im August und Dezember 2020 ein und stahlen persönliche Daten.