ShinyHunters 证实四月漏洞事件后 600 万嘉年华客户记录被盗

嘉年华沉默了六个星期。现在，嘉年华证实了一个显而易见的事实：ShinyHunters 在 4 月份的一次数据泄露事件中窃取了近 600 万客户的个人数据，而且该组织已经在网上泄露了这些数据。

这次攻击非常迅速。4 月 14 日，嘉年华的安全团队发现一个员工账户出了问题。一个社交工程电话就能进入该账户。到 4 月 22 日，内部调查人员证实攻击者已经复制了数据并离开。

被盗内容

被盗记录因人而异，但已确认的类别包括姓名、家庭住址、电子邮件地址、电话号码、出生日期、驾照号码和护照号码。嘉年华向缅因州总检察长提交的文件显示，受影响的人数不到 6 人。称受影响人数略低于 600 万。ShinyHunters 于 4 月下旬在其泄密门户网站上列出了 870 万条记录，其中包括与荷美航运公司运营的 Mariner Society 忠诚度计划相关的数据。Have I Been Pwned 证实了这一数据集。嘉年华拒绝付款。数据被公开。

惯犯与惯犯目标

嘉年华以前也遇到过这种情况。2019 年的一次漏洞暴露了约 18 万名客户和员工的数据，最终被监管部门罚款 125 万美元。2021 年又发生了第二起事件。该公司此次数据泄露的通知函于 5 月 27 日发出，即入侵开始六周后。

ShinyHunters 并没有放慢脚步。仅在 2026 年，该组织就攻破了一连串主要目标，每次都以相同的手法攻击公司：通过人员进入，获取数据，要求付款，如果不理睬就公布。今年早些时候，该组织通过入侵 Salesforce 环境锁定目标公司后，联邦调查局就发现了这一模式。ADT 和 Mixpanel 也是在同一活动窗口被攻击的。

已确认受影响的美国居民可通过全美征信公司（TransUnion）获得两年的免费信用监控服务。嘉年华表示，事件发生后已加强了安全控制。