Kebocoran Data Massal Carnival Cruise: Data 6 Juta Pelanggan Dicuri via Taktik Social Engineering

Raksasa operator kapal pesiar terbesar di dunia, Carnival Corporation, resmi mengonfirmasi insiden kebocoran data (data breach) berskala besar yang berdampak pada hampir 6 juta orang (tepatnya 5.995.277 pelanggan). Insiden keamanan siber ini sebelumnya sempat diklaim oleh kelompok peretas spesialis pemerasan data terkemuka, ShinyHunters, pada April 2026 lalu.

Sebagai salah satu pemain terbesar di industri pariwisata global yang menaungi sembilan merek kapal pesiar populer—termasuk Carnival Cruise Line, Costa, P&O Cruises, Princess Cruises, Holland America Line, Cunard, dan Seabourn—perusahaan ini mencatatkan pendapatan fantastis lebih dari $26 miliar tahun lalu. Namun, celah keamanan pada akun internal karyawan menjadi pintu masuk bagi peretas untuk menguras data sensitif perusahaan.

Kronologi Serangan Berbasis Rekayasa Sosial (Social Engineering)

Berdasarkan surat pemberitahuan resmi yang mulai dikirimkan kepada para korban, serangan ini tidak memanfaatkan celah kerentanan perangkat lunak (zero-day exploit), melainkan menggunakan taktik manipulasi psikologis:

• 10 April 2026: Pelaku kejahatan siber melancarkan aksi kecurangan berbasis rekayasa sosial (social engineering). Taktik ini berhasil mengelabui seorang karyawan Carnival Corporation, sehingga pelaku mendapatkan akses ilegal ke sebagian kecil porsi sistem teknologi informasi (TI) internal perusahaan.
• 14 April 2026: Tim keamanan TI internal Carnival mendeteksi adanya aktivitas mencurigakan dan tidak sah yang bersumber dari akun karyawan tersebut. Langkah mitigasi cepat langsung diambil untuk memblokir pergerakan pelaku, disusul dengan pelibatan pakar keamanan siber pihak ketiga untuk investigasi forensik.
• 22 April 2026: Hasil investigasi memastikan bahwa pelaku telah berhasil menyalin dan mencuri dokumen berisi informasi pribadi (Personally Identifiable Information / PII) milik jutaan basis pelanggan mereka secara ilegal.

Analisis Data yang Bocor dan Keterlibatan ShinyHunters

Meski manajemen Carnival Corporation belum merilis pernyataan resmi mengenai detail jenis data yang hilang, geng siber ShinyHunters telah memajang logo Carnival di situs kebocoran data mereka. Kelompok ini mengklaim telah menguras terobosan data internal berukuran terasbita (terabytes) yang mencakup lebih dari 8,7 juta baris rekam data pribadi.

Layanan pelacak kebocoran data independen, Have I Been Pwned, telah melakukan analisis mendalam terhadap sampel data yang dibocorkan oleh ShinyHunters di forum gelap. Berdasarkan temuan mereka, data yang bocor meliputi:

• Nama lengkap pelanggan
• Tanggal lahir
• Alamat email
• Jenis kelamin
• Lokasi geografis
• Detail keanggotaan program loyalitas

Secara spesifik, struktur data yang bocor tersebut mengarah kuat pada data milik Mariner Society, yaitu program loyalitas pelanggan yang dikelola oleh Holland America Line, salah satu anak perusahaan di bawah naungan bendera Carnival Corporation.

Jejak Rekam Serangan ShinyHunters dan Imbauan FBI

Kelompok ShinyHunters belakangan ini memang tengah menjadi momok menakutkan di industri keamanan siber global. Selama satu tahun terakhir, mereka gencar menargetkan korporasi yang menggunakan ekosistem Salesforce, meretas ratusan perusahaan dunia, serta mengklaim telah mencuri miliaran data dalam kampanye peretasan Salesloft Drift dan Salesforce Aura.

Merespons ancaman dari geng pemeras ini, Biro Investigasi Federal Amerika Serikat (FBI) secara tegas mengeluarkan imbauan kepada seluruh perusahaan yang menjadi korban ShinyHunters untuk tidak menuruti permintaan tebusan (ransom). FBI memperingatkan bahwa membayar uang tebusan sama sekali tidak memberikan jaminan bahwa peretas akan menghapus data tersebut. Dalam banyak kasus, pelaku justru akan kembali melakukan pemerasan sekunder atau tetap menjual database curian tersebut ke sesama kriminal siber di Dark Web.

Bagi Carnival Corporation, insiden di tahun 2026 ini menambah panjang catatan hitam sistem keamanan digital mereka. Sebelumnya, raksasa kapal pesiar ini juga pernah mengalami rentetan kebocoran data akibat serangan phishing email dan infeksi malware ransomware pada Maret 2020, Agustus 2020, Desember 2020, serta Juni 2021.