Carnival : 8,7 M de comptes publiés par ShinyHunters

Ce qui s'est passé

Le groupe d'extorsion ShinyHunters a publié les données de Carnival Corporation sur son site de fuite, après expiration de l'ultimatum du 21 avril. Le dump contient 8,7 millions d'enregistrements liés au programme de fidélité Mariner Society de Holland America Line, marque du groupe Carnival. Les champs exposés incluent les noms, dates de naissance, genres, adresses email, et données relatives au statut dans le programme. Have I Been Pwned a confirmé 7 531 359 adresses email uniques.

Carnival a reconnu publiquement un incident de phishing impliquant un seul compte utilisateur, et indique « travailler à mieux comprendre l'ampleur de l'activité non autorisée ». L'entreprise n'a pas commenté la veracité des données publiées par ShinyHunters. Cette publication s'inscrit dans une vague d'attaques revendiquées par le groupe : plus de 40 organisations figurent désormais sur leur portail « pay or leak », parmi lesquelles Mytheresa, Pitney Bowes, Canada Life, Hallmark et Inditex (Zara).

L'affaire Carnival ressemble fortement aux fuites en chaîne attribuées à ShinyHunters depuis fin 2025, où l'accès initial passe systématiquement par du phishing ciblé sur des comptes corporate, suivi d'une exfiltration silencieuse de bases de données clients.

Pourquoi c'est important

Pour les 7,5 millions de membres concernés, le risque immédiat est le phishing ciblé. Les données fuitées sont parfaites pour bâtir des campagnes de spear phishing très crédibles : un email mentionnant le statut Platinum du destinataire et un soi-disant problème de réservation Holland America passera tous les filtres bayésiens classiques. Le risque secondaire est la fraude à l'identité, particulièrement aux États-Unis où la combinaison nom + date de naissance + email reste exploitable pour ouvrir des comptes en ligne.

Pour les entreprises, l'affaire Carnival illustre la fragilité du « single point of failure » humain : un compte phishé suffit à exposer 8 millions de clients. Les programmes de fidélité, souvent sous-protégés par rapport aux bases CRM principales, deviennent une cible privilégiée pour ShinyHunters et consorts. Et la cadence de publications — 40+ victimes en quelques mois — montre que le groupe industrialise l'extorsion à grande échelle, en surfant sur la médiatisation pour faire monter la pression.

Ce qu'il faut retenir

• Membres Mariner Society : se méfier de tout email Holland America non sollicité, ne jamais cliquer sur un lien, vérifier directement sur le site officiel.
• Activer l'authentification multi-facteurs sur les comptes liés à la même adresse email pour limiter la propagation.
• Côté entreprise : durcir l'accès aux bases de programmes de fidélité (MFA obligatoire, segmentation, monitoring d'exfiltration).