Η πιο δημοφιλής γραμμή κρουαζιέρας στον κόσμο έχει υποστεί σημαντική παραβίαση δεδομένων, εκθέτοντας ενδεχομένως τα προσωπικά στοιχεία εκατομμυρίων επιβατών
Η Carnival Cruise Line ανακοίνωσε τον περασμένο μήνα ότι τα συστήματά της υπέστησαν κυβερνοεπίθεση τον Απρίλιο, η οποία επέτρεψε σε έναν «μη εξουσιοδοτημένο παράγοντα» να έχει πρόσβαση σε ονόματα, διευθύνσεις, διευθύνσεις email, αριθμούς τηλεφώνου, ημερομηνίες γέννησης και αριθμούς ταυτότητας που εκδόθηκαν από την κυβέρνηση, συμπεριλαμβανομένων αδειών οδήγησης και διαβατηρίων.
Ο γίγαντας της κρουαζιέρας αποκάλυψε ότι οι χάκερ απέκτησαν πρόσβαση σε ένα περιορισμένο μέρος των συστημάτων πληροφορικής του αφού χειραγωγούσαν έναν υπάλληλο μέσω μιας αποκαλούμενης επίθεσης «κοινωνικής μηχανικής», μια τακτική που βασίζεται στην εξαπάτηση και όχι σε τεχνικές ευπάθειες.
Η Carnival είπε ότι η ομάδα ασφαλείας της εντόπισε την εισβολή στις 14 Απριλίου και περιόρισε την παραβίαση ενώ ξεκίνησε έρευνα με εξωτερικούς εμπειρογνώμονες στον κυβερνοχώρο.
Μέσα σε λίγες μέρες, οι ερευνητές διαπίστωσαν ότι είχε γίνει πρόσβαση σε δεδομένα επιβατών, συμπεριλαμβανομένων ονομάτων, διευθύνσεων κατοικίας, διευθύνσεων email, αριθμών τηλεφώνου, ημερομηνιών γέννησης και αριθμών ταυτότητας που εκδόθηκαν από την κυβέρνηση, όπως άδειες οδήγησης και διαβατήρια.
Ενώ η Carnival δεν αποκάλυψε τον συνολικό αριθμό των επηρεαζόμενων πελατών στη δημόσια δήλωσή της, μια κατάθεση που υποβλήθηκε στο Γραφείο του Γενικού Εισαγγελέα του Maine αποκάλυψε ότι ενδέχεται να επηρεαστούν 5.995.277 άτομα.
Η εταιρεία έχει αρχίσει να ειδοποιεί τους επηρεαζόμενους επιβάτες και προσφέρει δύο χρόνια δωρεάν υπηρεσίες παρακολούθησης πιστώσεων και προστασίας ταυτότητας μέσω της TransUnion.
Σε ανακοίνωσή της, η Carnival είπε ότι «λυπάται βαθύτατα για αυτό το περιστατικό και για τυχόν ανησυχίες που μπορεί να έχει προκαλέσει», προσθέτοντας ότι έχει εφαρμόσει πρόσθετα μέτρα ασφαλείας και εξοπλισμό παρακολούθησης για να βοηθήσει στην αποτροπή μελλοντικών επιθέσεων.
Η Carnival Cruise Line ανακοίνωσε τον περασμένο μήνα ότι τα συστήματά της υπέστησαν κυβερνοεπίθεση τον Απρίλιο, η οποία επέτρεψε σε έναν «μη εξουσιοδοτημένο παράγοντα» να έχει πρόσβαση σε ονόματα, διευθύνσεις, διευθύνσεις email, αριθμούς τηλεφώνου, ημερομηνίες γέννησης και αριθμούς ταυτότητας που εκδόθηκαν από την κυβέρνηση, συμπεριλαμβανομένων αδειών οδήγησης και διαβατηρίων.
Η Carnival έχει λάβει περαιτέρω μέτρα για την ανάπτυξη πρόσθετης ασφάλειας στα συστήματά μας, συμπεριλαμβανομένης της εφαρμογής ενισχυμένων ελέγχων ασφάλειας και παρακολούθησης», ανέφερε η εταιρεία.
«Δεσμευόμαστε σε συνεχείς αναθεωρήσεις προστασίας δεδομένων για την ενίσχυση των προγραμμάτων και των ελέγχων ασφάλειας και απορρήτου».
Η Carnival Cruise Line έχει βιώσει μια σειρά περιστατικών κυβερνοασφάλειας τα τελευταία χρόνια, με παραβιάσεις που αποκαλύπτουν ευαίσθητες πληροφορίες πελατών και εργαζομένων και εγείρουν ερωτήματα σχετικά με την ασφάλεια των συστημάτων της.
Το πρώτο σημαντικό περιστατικό εμφανίστηκε τον Μάρτιο του 2020 όταν η Carnival Corporation, η μητρική εταιρεία, αποκάλυψε ότι μη εξουσιοδοτημένοι παράγοντες είχαν αποκτήσει πρόσβαση στα συστήματα της εταιρείας μήνες νωρίτερα, τον Μάιο του 2019.
Σύμφωνα με την εταιρεία, η παραβίαση επηρέασε συστήματα που σχετίζονται με πολλαπλές μάρκες κρουαζιέρας και εκτέθηκαν προσωπικές πληροφορίες πελατών και εργαζομένων.
Οι παραβιασμένες πληροφορίες φέρεται να περιελάμβαναν ονόματα, αριθμούς διαβατηρίων, πληροφορίες υγείας και άλλες ευαίσθητες λεπτομέρειες.
Αν και η Carnival είπε ότι εντόπισε την εισβολή τον Μάιο του 2019, η εταιρεία δεν αποκάλυψε δημόσια το περιστατικό παρά σχεδόν ένα χρόνο αργότερα.
Μόλις λίγους μήνες μετά από αυτή την αποκάλυψη, η Carnival υπέστη άλλη μια κυβερνοεπίθεση.
Στις 15 Αυγούστου 2020, η εταιρεία εντόπισε μια επίθεση ransomware που επηρέασε μια από τις μάρκες κρουαζιέρας της.
Κυβερνοεγκληματίες διείσδυσαν σε τμήματα του δικτύου τεχνολογίας πληροφοριών της Carnival, κλέβοντας κρυπτογραφημένα αρχεία και δεδομένα από τα συστήματα της εταιρείας.
Η Carnival προειδοποίησε τότε ότι η επίθεση θα μπορούσε να επηρεάσει επισκέπτες, υπαλλήλους και επιχειρήσεις.
Η σοβαρότητα του συμβάντος ώθησε την εταιρεία να υποβάλει αναφορά στην Επιτροπή Κεφαλαιαγοράς, ενημερώνοντας τους επενδυτές ότι χάκερ είχαν αποκτήσει μη εξουσιοδοτημένη πρόσβαση σε τμήματα του δικτύου της.
Τα αποτελέσματα της επίθεσης ransomware αποκάλυψαν ότι οι προσωπικές πληροφορίες παραβιάστηκαν για άλλη μια φορά.
Η Carnival αργότερα επιβεβαίωσε ότι τα εκτεθειμένα αρχεία περιελάμβαναν ονόματα, διευθύνσεις, ημερομηνίες γέννησης και αριθμούς διαβατηρίων. Σε ορισμένες περιπτώσεις, η παραβίαση αφορούσε αριθμούς κοινωνικής ασφάλισης υπαλλήλων και πληροφορίες σχετικά με την υγεία, εγείροντας ανησυχίες σχετικά με την πιθανότητα κλοπής ταυτότητας και απάτης.
Οι ερευνητές ασφαλείας επισημαίνουν ότι τα περιστατικά του 2020 δεν ήταν μεμονωμένα περιστατικά.
Μεταξύ 2019 και 2021, η Carnival αποκάλυψε πολλά ζητήματα ασφάλειας στον κυβερνοχώρο, συμπεριλαμβανομένων δύο επιθέσεων ransomware, ενός συμβιβασμού που σχετίζεται με το phishing και μολύνσεων από κακόβουλο λογισμικό που είχαν ως αποτέλεσμα μη εξουσιοδοτημένη πρόσβαση σε πληροφορίες πελατών και εργαζομένων.
Τα επαναλαμβανόμενα περιστατικά τοποθετούν τον γίγαντα της κρουαζιέρας ανάμεσα σε έναν αυξανόμενο αριθμό μεγάλων εταιρειών που αγωνίζονται να αμυνθούν από ολοένα και πιο εξελιγμένες απειλές στον κυβερνοχώρο.
Οι προκλήσεις της εταιρείας στον τομέα της κυβερνοασφάλειας επανεμφανίστηκαν το 2026 σε μια από τις μεγαλύτερες παραβιάσεις δεδομένων στην ιστορία της.
Η Carnival αποκάλυψε ότι ένας εισβολέας χρησιμοποίησε τεχνικές κοινωνικής μηχανικής για να ξεγελάσει έναν υπάλληλο ώστε να του δώσει πρόσβαση σε εσωτερικά συστήματα.
Σε αντίθεση με τις επιθέσεις που εκμεταλλεύονται τρωτά σημεία λογισμικού, η κοινωνική μηχανική βασίζεται στη χειραγώγηση των ανθρώπων ώστε να παρέχουν πρόσβαση ή να αποκαλύπτουν ευαίσθητες πληροφορίες.
Η παραβίαση επηρέασε τελικά σχεδόν 6 εκατομμύρια άτομα, καθιστώντας το ένα από τα πιο σημαντικά περιστατικά κυβερνοασφάλειας που αναφέρθηκαν από την εταιρεία.
Σύμφωνα με το Carnival, οι εκτεθειμένες πληροφορίες περιλαμβάνουν ονόματα, στοιχεία επικοινωνίας, ημερομηνίες γέννησης και αριθμούς ταυτότητας που εκδόθηκαν από την κυβέρνηση, όπως άδειες οδήγησης και στοιχεία διαβατηρίου.
Το περιστατικό τόνισε την αυξανόμενη απειλή ανθρωποκεντρικών επιθέσεων στον κυβερνοχώρο, οι οποίες γίνονται όλο και πιο συνηθισμένες καθώς οι χάκερ στοχεύουν υπαλλήλους αντί να προσπαθούν να παραβιάσουν τις τεχνικές άμυνες.
