Thought Leadership
Carnival Corporation, die Muttergesellschaft von AIDA, Costa, Cunard, Holland America, P&O und Princess Cruises, hat einen schwerwiegenden Datenschutzvorfall eingeräumt.
Laut einer beim Generalstaatsanwalt von Maine eingereichten Meldung waren insgesamt 5.995.277 Personen von dem Angriff betroffen. So wurde im April unbefugter Zugriff auf einen begrenzten Bereich des IT-Systems festgestellt. Ausgelöst wurde der Einbruch durch einen Social-Engineering-Angriff auf ein einzelnes Nutzerkonto. Ein Mitarbeiter wurde manipuliert, um Angreifern Zugang zum System zu verschaffen. Nach eigenen Angaben wurde die Aktivität umgehend unterbunden, externe Sicherheitsexperten wurden eingeschaltet und die Strafverfolgungsbehörden informiert.
Das Unternehmen handelte umgehend, um die unbefugten Aktivitäten zu unterbinden, und begann sofort, gemeinsam mit externen Sicherheitsexperten seine Sicherheitsvorkehrungen weiter zu verstärken und eine gründliche Untersuchung durchzuführen. Im Rahmen dieser Untersuchung stellte das Unternehmen fest, dass der Angreifer unrechtmäßig auf bestimmte personenbezogene Daten zugegriffen hatte.
Carnival Corporation
Reisepassdaten und Führerscheinnummern betroffen
Nach bisherigem Stand der Untersuchung wurden folgende Datenkategorien kompromittiert: Namen, E-Mail-Adressen, Telefonnummern, Geburtsdaten sowie Führerschein- und Reisepassnummern. Das Unternehmen betont, die Analyse sei noch nicht abgeschlossen.
Betroffene Personen wurden per Brief benachrichtigt. Für Personen, die auf diesem Weg nicht erreicht werden konnten, veröffentlichte Carnival einen öffentlichen Hinweis auf seiner Website. Dort heißt es unter anderem, komplexe Vorfälle dieser Art erforderten eine sorgfältige Untersuchung, bevor Benachrichtigungen korrekt versandt werden könnten.
Für Betroffene bietet der Konzern zwei Jahre kostenloses Kredit-Monitoring über den Dienstleister TransUnion an. Außerdem empfiehlt das Unternehmen, Kontoauszüge und Bonitätsauskünfte regelmäßig zu prüfen.
Kunden verärgert, Darknet-Verdacht unbestätigt
In einschlägigen Foren zeigen sich viele Kunden verärgert. Neben der langen Zeitspanne bis zur Benachrichtigung kritisieren Nutzer, dass das Unternehmen lediglich Kredit-Monitoring anbiete, statt direkte Entschädigungen oder Gutscheine für künftige Reisen auszustellen. Einzelne Nutzer verweisen zudem auf Berichte, wonach Carnival ein Lösegeld abgelehnt haben soll und die betroffenen Daten daraufhin im Darknet veröffentlicht worden seien. Carnival hat diese Darstellung weder bestätigt noch dementiert.
Die für zahlreiche Datenskandale bekannte Gruppe ShinyHunters hat die Verantwortung für den Angriff beansprucht, was Carnival ebenfalls nicht offiziell kommentiert hat.
