嘉年华数据泄露，600 万人信息遭曝光

邮轮运营商嘉年华集团发布通知，近 600 万名用户的个人信息在近期一起数据泄露事件中遭窃取。
嘉年华集团表示，公司于 4 月 14 日发现此次安全事故。黑客借助社会工程学攻击，盗用了一名员工的账号。
攻击者利用该入侵账号登入企业内部部分系统，窃取了存有用户个人信息的文件。
嘉年华集团在官网的事件公告中写道：“公司已投入大量时间，对涉事文件开展全面核查，逐一梳理其中包含的个人信息及对应人员范围。”
据该公司介绍，不同用户泄露的信息存在差异，普遍涵盖姓名、住址、出生日期、电子邮箱、手机号码及官方身份证件号码。
本周三，嘉年华集团向缅因州总检察长办公室报备，本次事件共计影响5995277 人，并将为所有受影响用户提供为期 24 个月的免费信用监控服务。
目前集团尚未披露攻击的更多细节。而知名勒索软件组织ShinyHunters上月已公开宣称，本次数据泄露由其发起。
该黑客团伙在专属数据泄露网站上称，从嘉年华集团系统中盗取了 870 万条数据记录，并在 4 月下旬将这批数据公之于众。
数据泄露查询平台 HaveIBeenPwned 对泄露样本分析后指出，嘉年华旗下荷美邮轮的海员会会员忠诚度计划中，约 750 万个账户受到波及。
泄露内容包括姓名、邮箱、出生日期、性别、所在地以及会员相关资料。
《安全周刊》已向嘉年华集团发函求证更多细节，后续将根据企业回复持续跟进报道。
SOCRadar 公司首席信息安全官恩萨尔・塞克尔对此表示：“从防御层面来讲，企业必须将防范社会工程学攻击列为核心网络安全防护手段，而非仅停留在安全意识培训层面。具体防护举措包括：部署可抵御钓鱼攻击的多因素认证（MFA）、强化内部业务请求的身份核验流程、配置条件访问策略、划分特权访问权限、开展常态化用户行为监测，以及定期针对人为攻击链路开展红队实战演练。”
事实上，嘉年华集团近年来数据安全事故频发：2019 年遭遇黑客入侵，2020 年沦为勒索软件攻击受害者，2021 年 3 月再度被黑客攻破，自 2020 年起，集团已多次公开披露数据泄露事件。
重点术语注释（网络安全 / 行业常用）
social engineering 社会工程学攻击：利用人性弱点（诱骗、伪装、话术等）骗取账号、密码、权限的攻击手段
data breach 数据泄露
ransomware 勒索软件
MFA (Multi-Factor Authentication) 多因素身份验证
red team 红队：网络安全实战模拟攻击团队，用于检验企业防御能力
privileged access 特权访问（管理员等高权限账号）