Carnival Corporation har offentliggjort en formell melding om et datainnbrudd som ble oppdaget 14. april 2026. Ifølge selskapet ble en ansatts konto kompromittert etter at en utenforstående aktør klarte å få tilgang til deler av konsernets IT-systemer gjennom sosial manipulering, ofte omtalt som «social engineering».
Selskapet opplyser at sikkerhetsteamet identifiserte den uautoriserte aktiviteten samme dag og umiddelbart blokkerte videre tilgang. Eksterne cybersikkerhetseksperter ble deretter koblet inn for å bistå i etterforskningen og styrke sikkerhetstiltakene.
Personopplysninger hentet ut
I meldingen bekrefter Carnival at etterforskningen har vist at personopplysninger ble kopiert fra systemene. Hvilke opplysninger som er berørt varierer fra person til person, men kan omfatte navn, adresse, e postadresse, telefonnummer, fødselsdato og offentlige identifikasjonsnumre som pass eller førerkort.
Carnival har startet utsendelse av varsler til berørte personer og har samtidig publisert informasjon om hendelsen på sine nettsider.
Ifølge innrapporteringer til amerikanske myndigheter kan totalt 5 995 277 personer være berørt av hendelsen.
Tilbyr kredittovervåkning
Som et tiltak tilbyr Carnival to års gratis kredittovervåkning gjennom TransUnion til berørte kunder i USA. Selskapet anbefaler også at de som mottar varsel følger med på kredittopplysninger, kontoutskrifter og andre tegn på identitetstyveri.
I den offentlige meldingen skriver Carnival at selskapet tar personvern og datasikkerhet på alvor og beklager hendelsen.
Knyttes til hackergruppen ShinyHunters
Flere sikkerhetsmedier har koblet hendelsen til hackergruppen ShinyHunters, som tidligere har stått bak flere høyprofilerte datainnbrudd. Gruppen hevder å ha stjålet millioner av kundeposter fra Carnival og senere publisert data etter at forhandlinger med selskapet skal ha strandet. Carnival har ikke kommentert disse påstandene offentlig. Ifølge Have I Been Pwned (HIBP) inneholdt den publiserte datadumpen 8,7 millioner poster med 7,5 millioner unike e-postadresser. HIBP opplyser samtidig at datasettet ser ut til å være knyttet til Holland America Lines lojalitetsprogram Mariner Society. Disse tallene stammer fra analyse av den publiserte datadumpen og er ikke tall Carnival selv har bekreftet.
Datainnbruddet er blant de største sikkerhetshendelsene som har rammet reiselivsbransjen de siste årene målt i antall berørte personer. Hendelsen illustrerer samtidig hvordan sosial manipulering fortsatt er blant de mest effektive metodene for å omgå tekniske sikkerhetstiltak.
Kilder
- Carnival Corporation, Carnival Corporation Notice of Data Breach, mai 2026
- Reuters, Cruise operator Carnival discloses personal data breach, mai 2026
- TechRadar, Carnival cruise operator confirms nearly 6 million people affected in data breach, mai 2026
- The Record, Cruise giant Carnival confirms data breach affecting nearly 6 million people, mai 2026