CarnivalのITシステムへの不正アクセス
- タグ
- 国外
Carnivalの2026年5月27日の発表によると、権限の無い者がソーシャルエンジニアリングで従業員をだましてITシステムの限られた一部に入り、一定の個人情報に不正にアクセスした［1］。SecurityWeekは、Carnivalがメイン州司法長官事務所に影響人数を5,995,277人〔注1〕と届け出たと報じた［9］。Carnivalの報告書では、集団訴訟の手続は8月14日の命令で12月11日まで止まっている［4］。
経緯
Carnivalは不正な活動を速やかに遮断し、直ちに第三者のセキュリティ専門家と組んで、徹底した調査とセキュリティの強化を始めた［1］。
The Recordによると、ShinyHuntersは4月にCarnivalのデータを大量に得たと主張し、公開させないよう恐喝を試みた［8］。Carnivalは当時、1つのユーザーアカウントに関わるフィッシングのインシデントを認め、不正な活動の範囲を調べているとした［8］。
TechRadarの4月27日の記事では、CarnivalはCruise Hiveへの声明で、攻撃を見つけてすぐに止めて侵入者を締め出し、警察にも通報したと述べた［11］。広報担当者は、ネット上の匿名の報告は必ずしも正確ではないと認識しつつ専門家と精査していると述べ、個人情報への影響が分かれば開示の要件に従って本人に直接連絡するとした［11］。
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2026年 | Carnival | ITセキュリティチームが従業員のアカウントに関わる不正な活動を特定した〔注2〕 | ［1］ |
| 2026年 | ShinyHunters | 「pay or leak」のポータルにCarnival Corporationを載せた | ［10］ |
| 2026年 | Carnival | 攻撃者が個人情報を不正にコピーしたと初めて判断した | ［6］ |
| 2026年 | 原告 | フロリダ州南部地区連邦地裁に、Carnivalを相手取る集団訴訟とされる訴訟6件を起こした | ［3］ |
| 2026年 | ShinyHunters | 窃取したと主張するデータを公開した | ［9］ |
| 2026年 | フロリダ州南部地区連邦地裁 | 訴訟の併合の申立てを認めた | ［3］ |
| 2026年 | Carnival | 個人への通知の発行を始め、公に知らせるためのウェブページを開設した | ［1］ |
| 2026年 | カリフォルニア州司法長官 | 届出のページに個人宛の通知書の見本を掲載した | ［5］ |
| 2026年 | 原告 | 併合後の修正訴状を提出した | ［4］ |
影響範囲
The Recordは、CarnivalがPrincess Cruises、Holland America Line、Cunard、Costa Cruisesなどのブランドを持ち、世界で90隻を超える船を運航していると報じた［8］。Holland America Lineの案内では、そのロイヤルティプログラムであるMariner Societyに、過去の乗船客が自動で登録される［12］。
Carnivalの発表では、影響を受けたデータの分析は続いており、データは個人によって異なる［1］。カリフォルニア州司法長官が掲載した通知書の見本は、取得された項目を個人ごとに差し込む形で書かれている［6］。
| 示した組織 | 項目 | 資料 |
|---|---|---|
| Carnival | 氏名、住所、メールアドレス、電話番号、生年月日、政府発行の身分証明書番号（運転免許証番号・旅券番号など）（現在までに分かっている項目） | ［1］ |
| Have I Been Pwned | 氏名、メールアドレス、生年月日、性別、地理的位置、ロイヤルティプログラムの詳細 | ［9］ |
| Gblockが引く研究者 | 氏名、メールアドレス、生年月日、性別、Mariner Societyの会員資格と階級、内部の顧客識別子（含まれるようだとした） | ［7］ |
対応と現状
通知とクレジットモニタリング
Carnivalの発表は、連絡先が不十分か古い人に、通知書と同じ情報を届けるためのものでもある［1］。
- 個人情報が影響を受けた人に、必要とされるとおり、かつ可能な場合はメールで通知している［1］。
- 米国の個人に、TransUnionを通じた2年間の無料のクレジットモニタリングを提供する［1］。
- セキュリティと監視の管理策を強めるなど、システムを守る措置を講じた［1］。
- Webサイトに代替通知のPDFを掲載した［2］。
Carnivalは個人宛の通知書の見本で、自社をCarnival Cruise Lineの親会社と記し、題を「Notice of Cybersecurity Event」とした［6］。登録の期限は8月31日で、期限を過ぎるとコードは使えなくなる［6］。登録はwww.mytrueidentity.comで受け付け、不正被害の支援はTransUnionの会社であるCyberscoutが担う［6］。
The Recordの記事では、Carnivalは5月27日、影響を受けた情報とその持ち主を把握して通知を正確に行うまでに、この種の複雑なインシデントでは時間と慎重な調査が要ると説明した［8］。
フロリダ州での集団訴訟
Carnivalの6月26日の四半期報告書（Form 10-Q）では、訴えは過失、黙示の契約違反、プライバシーの侵害、不当利得などを根拠に、衡平法上の救済と損害賠償を求めている［3］。Carnivalは、訴訟の結果が連結財務諸表に重要な影響を与えないと考えている［3］。
未公表の事項
- 従業員をだました手口の経路と、だまし取られたもの
- 侵入されたITシステムの名前と、Mariner Societyのデータとの関係
- 届出の人数と、ShinyHuntersが主張した件数やHave I Been Pwnedの分析の件数との関係
- 米国以外の居住者の人数と、ブランドごとの内訳
- ShinyHuntersの犯行の主張と恐喝へのCarnivalの対応
注
出典
当事者
- ［1］Carnival Corporation Ltd.『Carnival Corporation Notice of Data Breach』（2026年5月27日公開）
- ［2］Carnival Corporation Ltd.『Substitute Notice May 27, 2026（Website Notice）』（2026年5月27日公開、PDF、保存記録のみ） 保存記録
- ［3］Carnival Corporation Ltd.『Form 10-Q（For the quarterly period ended May 31, 2026）』（2026年6月26日公開、PDF）
- ［4］Carnival Corporation Ltd.『Form 10-Q（For the quarterly period ended August 31, 2026）』（2026年9月29日公開、PDF）
公的機関
- ［5］State of California Department of Justice（Office of the Attorney General）『Submitted Breach Notification Sample（Carnival Corporation）』（2026年5月27日公開、2026年5月28日更新）
- ［6］State of California Department of Justice（Office of the Attorney General）『Sample Individual Notice (05.27.2026).pdf（Re: Notice of Cybersecurity Event）』（2026年5月27日公開、PDF）
調査・観測
- ［7］Malwarebytes Inc.『Carnival confirms data breach impacting nearly 6 million』（2026年5月28日公開）
報道機関
- ［8］Recorded Future News『Cruise giant Carnival confirms data breach affecting nearly 6 million people』（2026年5月28日公開）
- ［9］SecurityWeek『Carnival Data Breach Exposed 6 Million People』（2026年5月28日公開）
- ［10］Help Net Security『Cybercriminals sail away with data from 6 million Carnival customers』（2026年5月28日公開）
- ［11］Future plc『'They don't care': ShinyHunters strike again as hackers claim to have pinched 7.5 million Carnival cruise emails』（2026年4月27日公開）
背景資料
- ［12］Holland America Line N.V.『The Perks of Holland America Line's Mariner Society Loyalty Program』（2021年12月2日公開、2022年11月11日更新）
更新記録
- 2026年5月31日：公開した。
- 2026年6月26日：Carnival Corporation Ltd.の6月26日の四半期報告書（出典3）を加え、集団訴訟の提起と併合を時系列に、訴えの根拠と財務への影響の見方を対応と現状の節に、データセキュリティインシデントの発生日の記述を注に加えた。
- 2026年9月29日：Carnival Corporation Ltd.の9月29日の四半期報告書（出典4）を加え、修正訴状の提出を時系列に加え、リードの最後の文を手続の停止の記述に改めた。