Carnival Cruise hit by data breach, warns of data misuse risk
2021/06/17 BleepingComputer — 世界最大のクルーズ船会社である Carnival Corporation は、同社の IT システムの一部が攻撃され、顧客／従業員／乗組員の個人情報や財務情報などデータが侵害されたことを公表した。Carnival は、S&P500 と FTSE100 の両株価指数に組み込まれており、約150カ国に15万人以上の従業員を擁し、毎年約1,300万人の顧客にレジャー旅行を提供している。
同社は、世界有数の 9つのクルーズ・ライン・ブランド (Carnival Cruise Line / Costa / P&O Australia / P&O Cruises / Princess Cruises / Holland American Line / AIDA / Cunard / Seabourn) と、旅行ツアー会社 (Holland America Princess Alaska Tours) を運営している。
Carnival はデータ漏えい通知書の中で、「2021年3月19日も、限られた数の電子メールアカウントへの、未承認の第三者によるアクセスが検出された」と、影響を受ける顧客に伝えている。しかし、Carnival の SVP & Chief Communications Officer である Roger Frizzell は、この記事が公開された後に BleepingComputer に対して、攻撃者は同社の情報技術システムの限られた部分にアクセスしたと述べている。
これだけを読むと、グループの一社だけがサイバー攻撃を受けたように捉えられますが、事態はかなり深刻なようです。この記事によると、2021年4月にSECに提出された 10-Q form において、2020年12月に Carnival は２回目の (これまで公表されていなかった) ランサムウェア攻撃を受けたことを報告し、また、依然として調査と修復の段階にあるようです。同社は 2020年12月のランサムウェア事件について、「現在のところ、潜在的にアクセスまたは取得された情報が悪用された形跡はなく、これらの問題や、その他の報告すべき事件を終結させるために、規制当局との協力を続けている」と述べています。
その当時に BleepingComputer は、ドイツのクルーズ会社で Carnival の子会社である AIDA Cruises が謎の IT 制限に対処しており、大晦日のクルーズがキャンセルされたと報じていました。同じく Carnival の子会社である Costa Cruises も、12月のランサムウェア攻撃の前後に IT 障害が発生し、オンライン予約システムでの予約が不可能になりました。AIDA Cruises / Costa Cruises / Carnival Corporation の3社は、今回の障害やキャンセルに関する BleepingComputer のメールに返信していません。
IoT OT Security News 