Carnival Cruise Line secoué par une autre violation de données

Récemment, les Centers for Disease Control and Prevention (CDC) des États-Unis ont donné un signal vert à Carnival Cruise Line pour commencer ses opérations à condition de respecter les protocoles de sécurité sanitaire de ses passagers. Cela a été un répit agréable pour l’industrie des croisières, qui était clouée au sol depuis que COVID-19 a ravagé le Diamond Princess Cruise amarré au port de Yokohoma au Japon. Beaucoup ont attribué ce navire comme la « cheville ouvrière » de la propagation du virus et ont donc souhaité rester à l’écart de telles croisières. Cependant, juste au moment où la lumière apparaissait enfin au bout du tunnel, Carnival Cruise a été à nouveau repoussé; cette fois pas avec un virus biologique mais un virus du cyberespace.

Le plus grand opérateur de navires de croisière au monde a divulgué un incident de violation de données qui a eu lieu en mars et a touché un nombre inconnu de clients, d’employés et de membres d’équipage de la flotte qui comprend Carnival Cruise Line, Holland America Line et Princess Cruises. La violation de données a été révélée pour la première fois lorsque la compagnie de croisière a envoyé un courrier de notification à ses clients. Selon la notification, la société avait détecté un accès tiers non autorisé à un « nombre limité » de comptes de messagerie le 19 mars.

La violation de données a divulgué les informations suivantes :

• Données collectées au cours de l’expérience client et du processus de réservation de voyage
• Données sur l’emploi de ses employés
• COVID et autres résultats des tests de sécurité de ses employés et membres d’équipage

Ces ensembles de données comprennent « les noms, les adresses, les numéros de téléphone, les numéros de passeport, les dates de naissance, les informations de santé et, dans certains cas limités, des informations personnelles supplémentaires telles que les numéros de sécurité sociale ou d’identification nationale ».

Soit dit en passant, ce n’est pas la première fois que Carnival Cruise Line est sous le radar des cybercriminels. En mars 2020, un incident similaire de violation de données a secoué la compagnie de croisière, qui a ensuite été suivi d’une attaque de ransomware en août 2020. Au cours de l’incident de ransomware, la société n’a pas confirmé les opérateurs ni la quantité de données compromise, mais a seulement déclaré que certains de ses fichiers de données étaient « en partie cryptés ».

Cependant, Chris Hauk, expert en confidentialité des consommateurs chez Pixel Privacy, a déclaré qu’il s’agissait «d’un cas d’entreprise ne prenant pas les mesures nécessaires pour défendre correctement ses réseaux contre les mauvais acteurs du monde. Comme mentionné par la société de cybersécurité Bad Packets, Carnival n’a pas réussi à corriger ses passerelles périphériques et ses pare-feu, même si des correctifs sont disponibles pour résoudre les deux problèmes depuis le début de l’année.

Au vu de la récurrence de ces incidents, peut-être que Carnival Cruise Line devrait prendre ses programmes de gestion des vulnérabilités et de détection des menaces plus au sérieux, si ce n’est déjà fait. Pour le moment cependant, la société a offert gratuitement pendant 18 mois une surveillance du crédit et une détection d’usurpation d’identité aux personnes concernées par le dernier incident de violation de données.

Nouvelles connexes :

Ce sont les 5 plus grandes violations de données en Inde au premier semestre 2021