Para: qualquer pessoa que tenha reservado ou viajado com uma marca de cruzeiro da Carnival Corporation, incluindo viajantes do Japão e de outros países fora dos EUA, e quem administra um serviço de viagens ou reservas que armazena números de passaporte.
Este artigo é baseado no aviso e na carta da própria Carnival Corporation, em seus registros junto aos procuradores-gerais estaduais dos EUA e nas orientações do Departamento de Estado dos EUA, do Ministério das Relações Exteriores do Japão e da FTC. Ele não aborda técnicas de ataque.
O que os viajantes devem fazer hoje
Verifique seu e-mail em busca do aviso da Carnival, inclusive na pasta de spam
A Carnival diz que começou a notificar por e-mail, em ou por volta de 27 de maio de 2026, as pessoas afetadas para as quais havia um endereço disponível, e publicou um aviso substituto em seu site corporativo para pessoas que não conseguiu contatar. Cada e-mail informa quais itens estiveram envolvidos no seu caso.
O aviso não lista quais marcas do grupo os hóspedes afetados utilizaram, por isso quem já reservou com uma marca da Carnival Corporation deve verificar, inclusive viajantes fora dos EUA. Dúvidas devem ser enviadas à central de atendimento exclusiva no número 1-844-593-8310 (8h–20h ET, seg.–sex.).
Não siga links em e-mails semelhantes aos de cruzeiros
Os itens vazados são exatamente o que um golpista precisa para escrever uma mensagem convincente: seu nome, dados de contato, data de nascimento e um número de documento. Mensagens sobre "reembolso pelo incidente", "reverificação do passaporte antes da próxima viagem" ou "atualização dos dados da reserva" são as que devem ser desconfiadas. Não abra o link; acesse o site ou aplicativo da companhia digitando o endereço você mesmo (veja O que é phishing?).
Quem ligar e ler o seu número de passaporte não provou nada; esse número é exatamente o que vazou.
Residentes dos EUA: congelem o crédito nos três bureaus
A Carnival ofereceu dois anos de monitoramento de crédito gratuito às pessoas nos EUA; a carta modelo definiu como prazo de adesão 31 de agosto de 2026. Independentemente dessa oferta, a FTC diz que um congelamento de crédito é gratuito, não afeta sua pontuação de crédito, permanece até que você o libere e, enquanto estiver ativo, ninguém pode abrir uma nova conta de crédito em seu nome.
É preciso contatar separadamente a Equifax, a Experian e a TransUnion. A própria FAQ da Carnival trata o congelamento ou o alerta de fraude como uma decisão individual; para um vazamento que inclui data de nascimento e número de documento, este site recomenda o congelamento.
Ainda tem o passaporte? Não o comunique como perdido ou roubado
O Departamento de Estado dos EUA diz que, depois de comunicar como perdido ou roubado um passaporte válido, você não pode usá-lo em viagens internacionais, mesmo que o encontre depois, e a comunicação não o substitui; comunicações online cancelam o passaporte em até um dia útil.
Esse processo foi criado para um passaporte fisicamente desaparecido. Se o seu passaporte está em uma gaveta e apenas o número apareceu nesta violação, comunicá-lo cancelaria um documento válido e você teria de pedir um novo.
Passaporte de fato perdido ou roubado? Comunique imediatamente
Se o passaporte físico está desaparecido, a resposta muda: comunique de imediato. Para passaportes dos EUA, o Departamento de Estado aceita comunicações online, por correio com o Formulário DS-64 ou presencialmente ao solicitar um novo passaporte.
Para passaportes japoneses, o Ministério das Relações Exteriores do Japão diz que um passaporte comunicado como perdido se torna inválido e não pode ser usado mesmo se for encontrado, e que é possível registrar a comunicação de perda e um novo pedido ao mesmo tempo.
Viajantes no Japão: fiquem atentos a mensagens também em japonês
Os avisos individuais estão em inglês, mas as mensagens de acompanhamento não precisam estar. Trate e-mails ou SMS em japonês sobre "seu cruzeiro", "um reembolso" ou "informações do passaporte" da mesma forma: sem links, confira pelo site oficial.
Se você está preocupado com contas sendo abertas em seu nome no Japão, a autodeclaração junto aos bureaus de crédito explicada em o artigo sobre a violação da Times Car é uma opção; pergunte a cada bureau se um número vazado se qualifica.
Seu número de passaporte estava no vazamento da Carnival
Você ainda tem o passaporte físico?
↓
Sim, eu tenho
→ Não comunique como perdido ou roubado (isso o cancela)
→ Desconfie de mensagens que citem seu número
→ Residentes dos EUA: congelamento de crédito nos 3 bureaus
Não, está perdido ou foi roubado
→ Comunique agora (EUA: online / DS-64; Japão: comunicação de perda)
→ O passaporte antigo é cancelado, mesmo se for encontrado
→ Solicite um novo passaporte
O que aconteceu (segundo o aviso da Carnival Corporation e os registros estaduais)
Tudo a seguir é como declarado pela Carnival Corporation em seu aviso, na carta modelo enviada às pessoas e em sua FAQ, ou conforme listado pelos órgãos reguladores estaduais.
10 de abril de 2026
Data em que a violação ocorreu, segundo os registros da empresa junto aos procuradores-gerais do Maine e da Califórnia.14 de abril
A equipe de segurança de TI da empresa identificou atividade não autorizada envolvendo a conta de um funcionário. Um agente não autorizado havia usado engenharia social para enganar um funcionário. A empresa diz que bloqueou a atividade e começou a trabalhar com especialistas externos em segurança.22 de abril
A empresa determinou pela primeira vez que informações pessoais haviam sido copiadas.27 de maio
Avisos publicados; começaram os e-mails às pessoas afetadas. O registro do Maine lista 5.995.277 pessoas.31 de agosto
Prazo de adesão ao monitoramento de crédito gratuito nos EUA, conforme a carta modelo.
- Quem
- Carnival Corporation. Sua carta individual a descreve como controladora da Carnival Cruise Line. O aviso não detalha as pessoas afetadas por marca ou país
- Dados envolvidos
- Nome, endereço, e-mail, telefone, data de nascimento e números de documentos emitidos pelo governo (como carteira de motorista e número de passaporte). Varia por pessoa; cada e-mail lista os itens daquela pessoa
- Como o acesso ocorreu
- Um agente não autorizado usou engenharia social para enganar um funcionário e obteve acesso a uma parte limitada do sistema de TI da empresa
- Contenção
- A empresa diz não ter conhecimento de nenhuma atividade não autorizada desde que interrompeu a atividade em 14 de abril
- Medidas da empresa
- Controles reforçados de segurança e monitoramento; autoridades notificadas
- Oferta
- Dois anos de monitoramento de crédito gratuito para pessoas nos EUA (prazo de adesão na carta modelo: 31 de agosto de 2026)
- Contato
- 1-844-593-8310, 8h–20h ET, seg.–sex.
Como ler: nomes de marcas e números maiores na internet
Alguns relatos online associam o incidente ao programa de fidelidade de uma marca específica ou apresentam números maiores de registros. Esses detalhes vêm da parte que levou os dados ou de análises externas, não do aviso da Carnival.
Este artigo usa apenas o que a empresa e os reguladores estaduais publicaram: 5.995.277 pessoas, sem detalhamento por marca.
O que um número de passaporte vazado muda e o que não muda
O que continua igual
- O passaporte em sua mão continua válido (nada no aviso o cancela)
- O processo de perda ou roubo continua sendo para documentos perdidos ou roubados
- Seus planos de viagem não precisam mudar apenas por causa do número
O que muda
- Um número de documento deixa de servir como prova de que quem liga é quem diz ser, ou de que conhece você
- Mensagens podem citar seus dados reais (nome, data de nascimento, número)
- O mesmo número continua válido por anos, até o passaporte vencer
O número do passaporte parece importante por causa de como é usado. Empresas de viagem normalmente o coletam para viagens internacionais, onde ele fica na reserva junto com nome e data de nascimento. Por isso parece uma senha.
Mas, diferentemente de uma senha, ele nunca foi secreto por natureza: está impresso no documento e escrito em inúmeros formulários. Após um vazamento, conhecer o número não é mais motivo para confiar em ninguém. Uma mensagem ou ligação que cita o número do seu passaporte prova apenas que o remetente viu dados vazados.
Visão deste site: trate o número do passaporte como seu nome, uma informação que outros podem conhecer, não como um segredo
Para viajantes, a regra prática é: nunca considere o conhecimento do seu número de passaporte como prova de identidade. Não confie em quem ligar só por conhecê-lo, e não o forneça a quem pedir que você o "confirme".
Para empresas que guardam números de passaporte, a lição deste caso e do caso Odido é a mesma: números coletados para verificação de identidade vazam das empresas que os coletam e armazenam. A Carnival diz que o acesso começou com um funcionário sendo enganado. Portanto:
- Mantenha os dados de passaporte em um repositório que contas comuns de funcionários não possam ler em massa
- Exclua-os após a viagem, a menos que uma regra exija a guarda
- Adote autenticação resistente a phishing (passkeys ou chaves de segurança) em toda conta que possa acessá-los
Por que o MFA baseado em código não basta está explicado no caso DentaQuest.
Para serviços de viagem e reservas que guardam números de documentos
Separe o repositório de passaportes das contas do dia a dia
Funcionários que lidam com reservas raramente precisam exportar números de passaporte. Permita que visualizem o registro de um hóspede quando necessário e não dê a nenhuma conta comum a capacidade de ler a tabela inteira. Assim, a conta de um funcionário enganado expõe alguns registros, não a tabela toda.
Exclua após a viagem, salvo se uma regra disser o contrário
Os dados de passaporte geralmente são coletados para embarque e formalidades de fronteira. Após a viagem, liste quais regras exigem a guarda e por quanto tempo, e exclua automaticamente o restante. Dados que não existem mais não podem ser copiados.
Informe aos hóspedes como você entrará e não entrará em contato
Publique, antes de qualquer incidente, que você nunca pedirá um número de passaporte por e-mail ou telefone, e onde os hóspedes podem verificar as mensagens. Após uma violação, essa frase é o que permite aos hóspedes ignorar as falsificações. A base mais ampla está em A linha de base mínima de segurança para organizações.
Fontes (registros públicos)
Os fatos deste artigo vêm das fontes públicas abaixo. Afirmações e números da parte que levou os dados não são utilizados.
- Carnival Corporation, Website Notice – Substitute Notice, Notice of Data Breach and FAQs (27 de maio de 2026) — carnivalcorp.com (PDF)
- Carnival Corporation, Notice of Data Breach (comunicado à imprensa, 27 de maio de 2026) — prnewswire.com
- Procurador-geral do Maine, Data Breach Notification: Carnival Corporation (5.995.277 no total; violação em 10 de abril de 2026; descoberta em 14 de abril de 2026) — maine.gov (cópia arquivada)
- Procurador-geral da Califórnia, listagem de violação da Carnival Corporation e modelo de notificação individual (27 de maio de 2026) — oag.ca.gov
- Carnival Corporation, site corporativo (marcas de cruzeiro) — carnivalcorp.com
- Departamento de Estado dos EUA, Report Your Passport Lost or Stolen — travel.state.gov
- Ministério das Relações Exteriores do Japão, documentos exigidos para pedidos de passaporte, incluindo comunicações de perda (em japonês) — mofa.go.jp
- FTC, Credit Freezes and Fraud Alerts — consumer.ftc.gov
Histórico de atualizações
2026-09-30: Primeira versão, com base no aviso, na FAQ e na carta modelo da Carnival Corporation de 27 de maio de 2026, em seus registros junto aos procuradores-gerais do Maine e da Califórnia, e nas orientações do Departamento de Estado dos EUA, do Ministério das Relações Exteriores do Japão e da FTC. Este artigo será atualizado se a empresa publicar novos números ou detalhes.
Leia a seguir
- O mesmo padrão na Europa: Odido (Países Baixos, números de passaporte e de habilitação vazados)
- Documentos de identidade vazados no Japão: O vazamento da Times Car (imagens de carteira de motorista)
- Outro caso de 2026 que começou com um funcionário enganado: O vazamento da DentaQuest (SSNs, números do Medicaid e do Medicare)
- Golpes derivados: O que é phishing?
- Login mais forte: Como escolher a autenticação multifator / O que é passkey?
- Outros incidentes de 2026: lista de violações e ciberataques (Japão e mundo)