Carnival Corporation, la compañía de cruceros más grande del mundo, ha informado a sus clientes sobre una brecha de ciberseguridad significativa. El incidente ocurrió después de que un atacante utilizara ingeniería social para comprometer la cuenta de un empleado, exponiendo datos personales sensibles. La actividad no autorizada fue detectada por el equipo de seguridad informática el 14 de abril de 2026.

Carnival Corporation, la compañía de cruceros más grande del mundo y matriz de Carnival Cruise Line, ha comenzado a notificar a sus clientes sobre una brecha de ciberseguridad significativa que expuso datos personales sensibles después de que un actor de amenazas utilizara con éxito la ingeniería social para comprometer la cuenta de un empleado.

El equipo de seguridad informática de la empresa detectó por primera vez actividad no autorizada el 14 de abril de 2026, después de que un actor de amenazas desconocido engañara a un empleado mediante tácticas de ingeniería social para obtener acceso ilegítimo a una parte limitada de los sistemas informáticos internos de Carnival.

Carnival actuó rápidamente para bloquear la intrusión y contrató a expertos externos en ciberseguridad para contener los daños y poner en marcha una investigación forense.

Para el 22 de abril de 2026, ocho días después de la detección inicial, los investigadores confirmaron que el atacante había copiado ilegalmente información personal perteneciente a los clientes.

Carnival comenzó a enviar cartas formales de notificación de la brecha el 27 de mayo de 2026, casi seis semanas después de que se confirmara el incidente, alertando a un estimado de 6 millones de personas afectadas en todo Estados Unidos.

Brecha de Datos de Carnival Cruise

Aunque el aviso de Carnival utiliza un marcador de posición para elementos de datos específicos, indicando que las notificaciones son individualizadas según el tipo de dato, la brecha expuso potencialmente:

• Nombres completos y fechas de nacimiento
• Números de identificación emitidos por el gobierno
• Números de Seguro Social
• Información de contacto, incluyendo direcciones y correo electrónico

La empresa afirmó en la presentación que llevó a cabo un análisis de archivos "exhaustivo y prolongado" para determinar exactamente qué elementos de datos pertenecían a cada persona afectada antes de enviar las notificaciones personalizadas.

Carnival ofrece a todas las personas afectadas una membresía gratuita de monitoreo de crédito por 24 meses a través de la plataforma MyTrueIdentity de TransUnion, impulsada por Cyberscout, una subsidiaria de asistencia contra el fraude de TransUnion. El servicio incluye monitoreo de crédito de una sola agencia, informes crediticios, puntuaciones de crédito y soporte proactivo para la remediación de fraudes.

Los clientes afectados deben inscribirse antes del 31 de agosto de 2026, utilizando los códigos de activación individualizados proporcionados en las cartas de notificación.

Este incidente subraya la creciente efectividad de la ingeniería social como vector de acceso inicial, una técnica cada vez más favorecida por los actores de amenazas para evadir completamente los controles técnicos.

Los expertos en seguridad clasifican consistentemente la manipulación humana como una de las superficies de ataque más difíciles de defender, lo que convierte a la capacitación de concienciación en seguridad para los empleados y a los protocolos robustos de verificación de identidad en elementos críticos para la misión de las grandes empresas que manejan datos sensibles de los consumidores.

Carnival afirma que ha mejorado sus controles de monitoreo de seguridad y que continuará avanzando en su postura de privacidad de datos en respuesta a la brecha.

Fuentes:
https://cybersecuritynews.com/carnival-cruise-data-breach/