Um funcionário da Carnival caiu em engenharia social. Quase 6 milhões de pessoas foram afetadas.
O aviso da empresa descreve um acesso concedido em 14 de abril e arquivos copiados oito dias depois. A notificação protocolada no Maine chega a 5.995.277 pessoas.
Engenharia socialA Carnival Corporation, controladora da Carnival Cruise Line, enviou avisos de incidente datados de 27 de maio de 2026. Segundo a reconstituição publicada pela Malwarebytes a partir do aviso e do protocolo no Maine, um atacante usou engenharia social para convencer um funcionário a conceder acesso a parte dos sistemas em 14 de abril. Em 22 de abril, uma conta comprometida chegou a uma parcela limitada do ambiente e copiou dados pessoais antes de ser bloqueada.
O total notificado foi de 5.995.277 pessoas. A carta-modelo não lista um conjunto único de campos: usa um espaço em branco para os dados daquela pessoa. A Malwarebytes registra que pesquisadores citaram nomes, e-mails, datas de nascimento, gênero, status de fidelidade e identificadores internos, e que a própria Carnival não publicou, nesse aviso, a lista fechada do que saiu.
O grupo de extorsão ShinyHunters reivindicou o material. Reivindicação de grupo não é confirmação da empresa. O que a Carnival confirmou, no aviso, é o caminho: uma pessoa de dentro foi convencida a abrir a porta.
Seis milhões de notificações começam numa conversa com um funcionário. O tamanho do estrago não muda o teste certo: o procedimento de conceder acesso precisa falhar no ensaio, não na carta ao cliente.
