ShinyHunters bestätigt Diebstahl von 6 Millionen Datensätzen nach Hack im April

Carnival hat sechs Wochen geschwiegen. Jetzt hat das Unternehmen das Offensichtliche bestätigt: ShinyHunters hat nach einem Sicherheitsvorfall im April persönliche Daten von fast 6 Millionen Kunden erbeutet, und die Gruppe hatte sie bereits online veröffentlicht.

Der Angriff ist schnell erfolgt. Am 14. April hat Carnivals Sicherheitsteam Unregelmäßigkeiten bei einem einzelnen Mitarbeiterkonto festgestellt. Ein Social-Engineering-Anruf hat gereicht, um Zugang zu erhalten. Bis zum 22. April haben interne Ermittler bestätigt, dass der Angreifer die Daten bereits kopiert und das System verlassen hatte.

Welche Daten gestohlen wurden

Die gestohlenen Datensätze unterscheiden sich je nach Person, zu den bestätigten Kategorien gehören aber Namen, Wohnadressen, E-Mail-Adressen, Telefonnummern, Geburtsdaten, Führerscheinnummern und Passnummern. Carnivals Meldung an den Attorney General des US-Bundesstaats Maine beziffert die Zahl der Betroffenen auf knapp 6 Millionen. ShinyHunters hat Ende April 8,7 Millionen Datensätze auf seinem Leak-Portal gelistet, darunter auch Daten des von Holland America Line betriebenen Mariner-Society-Treueprogramms. Have I Been Pwned hat den Datensatz bestätigt. Carnival hat die Zahlung verweigert. Die Daten sind öffentlich geworden.

Ein Wiederholungstäter mit erneutem Ziel

Carnival ist in dieser Lage nicht zum ersten Mal. Bei einem Sicherheitsvorfall im Jahr 2019 sind Daten von rund 180.000 Kunden und Mitarbeitern offengelegt worden, der Vorfall hat mit einer Geldstrafe von 1,25 Millionen US-Dollar geendet. Ein zweiter Vorfall ist 2021 gefolgt. Die Benachrichtigungsschreiben des Unternehmens zu diesem Sicherheitsvorfall sind am 27. Mai verschickt worden, sechs Wochen nach Beginn des Eindringens.

ShinyHunters hat das Tempo nicht reduziert. Allein 2026 hat die Gruppe eine Reihe großer Ziele angegriffen und dabei jeweils nach demselben Muster gehandelt: Zugang über eine Person verschaffen, Daten abgreifen, Zahlung fordern und bei ausbleibender Reaktion veröffentlichen. Das FBI hat Anfang dieses Jahres auf dieses Muster hingewiesen, nachdem die Gruppe Unternehmen über kompromittierte Salesforce-Umgebungen angegriffen hatte. ADT und Mixpanel sind im selben Kampagnenzeitraum getroffen worden.

Betroffenen US-Kunden werden zwei Jahre kostenlose Kreditüberwachung über TransUnion angeboten. Carnival gibt an, nach dem Vorfall die Sicherheitskontrollen verstärkt zu haben.