Turizm ve seyahat sektörünün küresel devlerinden Carnival Corporation, milyonlarca müşterisini doğrudan etkileyen devasa bir siber güvenlik kriziyle karşı karşıya kaldı. Şirketten yapılan resmi açıklamaya göre, nisan ayında şirket altyapısına yönelik gerçekleştirilen siber saldırı sonucunda, dünya genelinde yaklaşık 6 milyon yolcunun kişisel verileri ele geçirildi. Şirket, siber güvenlik ekiplerinin 14 Nisan 2026'da şüpheli bir hareketlilik tespit ettiğini ancak yapılan derinlemesine incelemeler sonucunda verilerin siber korsanlar tarafından kopyalandığının kesinleştiğini bildirdi. Şirket, 27 Mayıs 2026 tarihi itibarıyla etkilenen tüm müşterilerine resmi bilgilendirme mektupları göndermeye başladı.
Saldırının arkasında siber suç örgütü ShinyHunters var
Siber güvenlik analistlerinden edinilen bilgilere göre, bu devasa sızıntının arkasında uluslararası çapta faaliyet gösteren ünlü hack grubu "ShinyHunters" yer alıyor. Korsan grubu, nisan ayının ortalarında Carnival sistemlerinden çaldıkları verileri kendi sızıntı sitelerinde listeleyerek şirkete fidye ödemesi için 21 Nisan'ya kadar süre tanıdı. Şirketin bu şantaja boyun eğmemesi ve fidyeyi ödememesi üzerine grup, ellerindeki yaklaşık 8,7 milyon kaydı internette açıkça yayınladı. Maine Başsavcılığı'na sunulan resmi bildirim dosyalarında ise bu veriler arasında tekil olarak tam 5 milyon 995 bin 277 kişinin doğrudan etkilendiği rapor edildi.
Hedef tek bir çalışan ve sadakat programı oldu
Siber saldırının teknik bir yazılım açığından ziyade insan manipülasyonuna dayanan "sosyal mühendislik" yöntemiyle gerçekleştirilmesi dikkat çekti. Saldırganların, Carnival bünyesindeki tek bir çalışanı ikna ederek kullanıcı hesap bilgilerini ele geçirdiği ve bu sayede sistemin sınırlı bir bölümüne sızdığı belirtildi. Sızdırılan veri tabanının, özellikle Carnival çatısı altında faaliyet gösteren "Holland America Line" şirketine ait "Mariner Society" adlı müşteri sadakat programını hedef aldığı anlaşıldı. Siber korsanların eline geçen bilgiler arasında yolcuların tam isimleri, adresleri, e-posta adresleri, telefon numaraları ve doğum tarihlerinin yanı sıra pasaport ile ehliyet numaraları gibi devlet tarafından verilen kritik resmi kimlik bilgileri de yer alıyor.
Mağdurlara iki yıllık koruma sağlandı
Yaşanan bu siber skandalın ardından derin bir üzüntü duyduğunu açıklayan seyahat devi, gelecekteki olası saldırıların önüne geçmek adına sistem altyapısındaki izleme araçlarını ve güvenlik duvarlarını en üst seviyeye çıkardıklarını duyurdu. Şirket, sızıntıdan etkilenen ABD vatandaşı müşterilerine yaşanabilecek kimlik hırsızlığı ve finansal dolandırıcılık risklerine karşı TransUnion firması aracılığıyla iki yıl boyunca ücretsiz kredi izleme ve kimlik koruma hizmeti sunacağını taahhüt etti. Ancak Kanada ve Avustralya gibi ülkelerden turlara katılan ve sızıntıdan etkilenen diğer yabancı yolculara bu finansal koruma kalkanının sunulmaması küresel çapta eleştirileri de beraberinde getirdi.
