Carnival Corporation, società madre di Carnival Cruise Line, sta inviando nuove lettere di «Notifica di evento di sicurezza informatica» datate 27 maggio 2026. Se vi sembra di aver già letto questa frase, non state immaginando cose. Negli ultimi dieci anni, il più grande operatore di crociere al mondo ha accumulato una preoccupante serie di violazioni, incidenti di ransomware e sanzioni normative, e questo incidente del 2026 aggiunge un'altra voce a una storia di sicurezza informatica già lunga.
Nel nostro database sono presenti diversi casi di violazione dei dati che coinvolgono Carnival Corporation o una delle sue controllate.
Solo tra il 2019 e il 2021, Carnival ha segnalato quattro distinti episodi di sicurezza informatica al Dipartimento dei servizi finanziari di New York. Tra questi figuravano due attacchi ransomware e un episodio di phishing in cui gli autori hanno diffuso malware, hanno avuto accesso ai sistemi interni e li hanno crittografati, sottraendo dati personali relativi a clienti e dipendenti.
In questo ultimo caso, il 14 aprile 2026 un hacker ha utilizzato tecniche di ingegneria sociale per indurre un dipendente di Carnival a concedergli l'accesso a una parte dei sistemi informatici dell'azienda. Entro il 22 aprile, l'hacker ha utilizzato un account compromesso per accedere a una «parte limitata» dei sistemi informatici di Carnival, dove è riuscito a copiare dati personali prima di essere bloccato.
Secondo la notifica di violazione dei dati presentata nel Maine, sono state coinvolte in totale 5.995.277 persone. Carnival ha accertato che l'intruso aveva copiato illegalmente dei file contenenti informazioni personali e sta ora scrivendo alle persone interessate per informarle che sono stati acquisiti «dati» a loro relativi.
Secondo i ricercatori citati da Gblock, i dati rubati sembrerebbero includere:
- Nomi completi
- Indirizzi email
- Date di nascita
- Generi
- Stato di iscrizione e livello della Mariner Society
- Identificatori interni dei clienti
Il modello di lettera non riporta campi dati specifici. Al loro posto, utilizza un segnaposto:
“We have determined that your <<data elements>> were obtained.”
Ciò suggerisce chiaramente che Carnival stia inserendo in ogni lettera categorie di dati pertinenti a quella specifica persona, un modello ricorrente nei casi di violazioni su larga scala in cui gli utenti potrebbero aver fornito informazioni diverse in momenti diversi.
Inoltre, le lettere riportano le consuete informazioni sulla rapidità con cui l’azienda è intervenuta, coinvolgendo esperti esterni, e descrivono i sistemi interessati come una parte limitata dell’ambiente. Per i destinatari, l’aspetto rilevante non è quanto limitata fosse la violazione dal punto di vista dell’azienda, bensì se le informazioni compromesse possano essere utilizzate per furti d’identità, frodi o attacchi di phishing particolarmente convincenti.
Le violazioni avvengono ogni giorno. Non essere l'ultimo a saperlo.
Sappiamo, sulla base di precedenti incidenti verificatisi presso Carnival, che i dati compromessi includevano nomi, indirizzi, date di nascita, numeri di passaporto, informazioni sanitarie e dettagli di pagamento. In precedenti violazioni che hanno interessato le compagnie di crociera, i dati compromessi andavano dai semplici recapiti ai numeri di previdenza sociale e alle informazioni relative alle carte di credito. Carnival non ha reso pubbliche tutte le categorie di dati coinvolti nell’incidente del 2026, ma dato che questo evento del 2026 riguarda nuovamente “informazioni personali” copiate dai sistemi interni, è ragionevole considerarlo un grave incidente sulla privacy, anche se l’esatta combinazione di dati varia da persona a persona.
L'attacco è stato rivendicato dal gruppo di ricattatori ShinyHunters, noto per rubare dati e poi chiedere un riscatto. Se la vittima non accetta le condizioni, i dati verranno resi pubblici e/o venduti al miglior offerente.
Dal punto di vista dei criminali informatici, i dati del settore crocieristico sono molto ambiti. I passeggeri delle crociere sono spesso persone relativamente benestanti e i registri dei passeggeri possono contenere dati identificativi (nomi, indirizzi, date di nascita, numeri di passaporto), dati di contatto (indirizzi e-mail, numeri di telefono) e, potenzialmente, dati di pagamento (numeri di carta di credito e, talvolta, coordinate bancarie), il che li rende preziosi per il furto di identità, il phishing mirato e le frodi.
Cosa fare se sei coinvolto
Per mitigare le conseguenze, Carnival offre un pacchetto gratuito di monitoraggio del credito TransUnion della durata di 24 mesi, fornito tramite la piattaforma MyTrueIdentity e supportato da Cyberscout per l'assistenza in caso di frodi.
Presta attenzione alle e-mail, agli SMS o alle telefonate che dichiarano di provenire da Carnival o da agenzie di monitoraggio del credito, poiché i criminali informatici spesso sfruttano le violazioni dei dati per mettere in atto truffe di phishing. Leggi i nostri consigli su cosa fare se scopri di essere stato coinvolto in una violazione dei dati.
Cosa sanno di te i criminali informatici?
Utilizza la scansione gratuita Digital Footprint Malwarebytes per verificare se le tue informazioni personali sono state divulgate online.
