Carnival : 8,7 M de comptes publiés par ShinyHunters

Ce qui s'est passé

Le groupe d'extorsion ShinyHunters a mis à exécution sa menace : les données de Carnival Corporation ont été publiées sur son site de fuite, après l'expiration de l'ultimatum fixé au 21 avril. La fuite Carnival ShinyHunters porte sur 8,7 millions d'enregistrements issus du programme de fidélité Mariner Society, exploité par Holland America Line, l'une des marques du croisiériste américain. Les champs exposés comprennent les noms, dates de naissance, genres, adresses email, numéros de téléphone, adresses postales ainsi que des informations relatives aux réservations et aux statuts de fidélité. Aucun élément bancaire complet ne figurerait dans le dump, mais la combinaison état civil et historique de voyage constitue une base idéale pour des campagnes de phishing ciblé et d'usurpation d'identité. Cette publication s'inscrit dans la vague d'extorsions liées aux instances Salesforce compromises depuis 2025.

Carnival a reconnu publiquement un incident de phishing impliquant un seul compte utilisateur, et indique « travailler à mieux comprendre l'ampleur de l'activité non autorisée ». L'entreprise n'a pas commenté la veracité des données publiées par ShinyHunters. Cette publication s'inscrit dans une vague d'attaques revendiquées par le groupe : plus de 40 organisations figurent désormais sur leur portail « pay or leak », parmi lesquelles Mytheresa, Pitney Bowes, Canada Life, Hallmark et Inditex (Zara).

L'affaire Carnival ressemble fortement aux fuites en chaîne attribuées à ShinyHunters depuis fin 2025, où l'accès initial passe systématiquement par du phishing ciblé sur des comptes corporate, suivi d'une exfiltration silencieuse de bases de données clients.

Pourquoi c'est important

Pour les 7,5 millions de membres concernés, le risque immédiat est le phishing ciblé. Les données fuitées sont parfaites pour bâtir des campagnes de spear phishing très crédibles : un email mentionnant le statut Platinum du destinataire et un soi-disant problème de réservation Holland America passera tous les filtres bayésiens classiques. Le risque secondaire est la fraude à l'identité, particulièrement aux États-Unis où la combinaison nom + date de naissance + email reste exploitable pour ouvrir des comptes en ligne.

Pour les entreprises, l'affaire Carnival illustre la fragilité du « single point of failure » humain : un compte phishé suffit à exposer 8 millions de clients. Les programmes de fidélité, souvent sous-protégés par rapport aux bases CRM principales, deviennent une cible privilégiée pour ShinyHunters et consorts. Et la cadence de publications — 40+ victimes en quelques mois — montre que le groupe industrialise l'extorsion à grande échelle, en surfant sur la médiatisation pour faire monter la pression.

Ce qu'il faut retenir

• Membres Mariner Society : se méfier de tout email Holland America non sollicité, ne jamais cliquer sur un lien, vérifier directement sur le site officiel.
• Activer l'authentification multi-facteurs sur les comptes liés à la même adresse email pour limiter la propagation.
• Côté entreprise : durcir l'accès aux bases de programmes de fidélité (MFA obligatoire, segmentation, monitoring d'exfiltration).

un accès compromis a suffi à exposer près de 9 millions d'enregistrements accumulés depuis des années dans le programme de fidélité. Les programmes de loyalty — souvent gérés par des plateformes tierces peu auditées — deviennent des cibles de choix car ils centralisent des données personnelles riches (préférences de voyage, historique, statut VIP) sans bénéficier du même niveau de protection que les systèmes de paiement, soumis eux à la norme PCI DSS.

Un mode opératoire éprouvé chez ShinyHunters

ShinyHunters n'en est pas à son coup d'essai. Le groupe s'est fait connaître en 2024 avec la vague de compromissions liée à des identifiants volés sur des instances Snowflake mal sécurisées, touchant des géants comme AT&T, Ticketmaster ou Santander — plus de 165 organisations avaient été affectées selon les estimations de Mandiant. Le collectif a depuis fait évoluer sa méthode : plutôt que d'exploiter des configurations cloud par défaut, il mise désormais sur l'ingénierie sociale ciblée, souvent via de faux portails de connexion Salesforce ou Okta imitant l'interface des outils internes des entreprises visées. Cette bascule vers le phishing pur, avec un ROI élevé pour un coût opérationnel minime, explique la cadence soutenue des publications sur leur portail d'extorsion, désormais surnommé « Scattered LAPSUS$ Hunters » par plusieurs chercheurs, signe d'une porosité croissante entre ces collectifs historiquement distincts.

Un secteur du voyage particulièrement exposé

L'industrie du tourisme et des croisières cumule les incidents depuis 2023 : MGM Resorts (via un vishing ciblant le help desk), Marriott (à plusieurs reprises depuis 2018) et désormais Carnival illustrent une convergence de facteurs de risque — bases clients volumineuses, turnover élevé du personnel en contact avec les systèmes CRM, et dépendance à des prestataires externes pour la gestion des programmes de fidélité. Le Verizon Data Breach Investigations Report classe régulièrement le secteur « Accommodation » parmi les plus touchés par le phishing en tant que vecteur d'accès initial, avec un taux de réussite supérieur à la moyenne inter-sectorielle.

Exposition réglementaire pour Carnival

Basée aux États-Unis mais opérant à l'international, Carnival Corporation reste soumise à un patchwork de lois de notification de breach au niveau des États américains (dont le California Consumer Privacy Act) ainsi qu'au RGPD pour ses clients européens. L'entreprise avait déjà écopé d'une amende de 5 millions de dollars de la FTC en 2019 après plusieurs incidents de cybersécurité antérieurs sur ses filiales de croisière — un précédent qui pourrait peser sur l'issue de l'enquête en cours si la négligence dans la gestion des accès venait à être établie.