Для кого: для всех, кто бронировал или плавал с круизным брендом Carnival Corporation, включая путешественников из Японии и других стран за пределами США, а также для тех, кто управляет туристическим или бронировочным сервисом, хранящим номера паспортов.
Эта статья основана на собственном уведомлении и письме Carnival Corporation, её заявлениях в генеральные прокуратуры штатов США, а также на рекомендациях Госдепартамента США, Министерства иностранных дел Японии и FTC. Она не описывает техники атак.
Что путешественникам сделать сегодня
Проверьте почту на наличие уведомления Carnival, включая папку «Спам»
Carnival сообщает, что начала уведомлять затронутых людей по электронной почте примерно 27 мая 2026 года, там, где был доступен адрес, и разместила замещающее уведомление на корпоративном сайте для тех, с кем не удалось связаться. В каждом письме указано, какие сведения затронуты именно для вас.
В уведомлении не перечислено, с какими брендами группы плавали затронутые гости, поэтому всем, кто бронировал с брендом Carnival Corporation, стоит проверить, в том числе путешественникам за пределами США. Вопросы направляйте в выделенный колл-центр: 1-844-593-8310 (с 8:00 до 20:00 по восточному времени, пн–пт).
Не открывайте ссылки в похожих на круизные письмах
Утёкшие данные — именно то, что нужно мошеннику для убедительного сообщения: ваше имя, контактные данные, дата рождения и номер документа. Сообщения о «возврате средств за инцидент», «повторной проверке паспорта перед следующим рейсом» или «обновлении данных бронирования» стоит считать подозрительными. Не открывайте ссылку; зайдите на сайт или в приложение круизной компании, введя адрес вручную (см. Что такое фишинг?).
Звонящий, который называет ваш номер паспорта, ничего не доказал: именно этот номер и утёк.
Жители США: заморозьте кредитную историю во всех трёх бюро
Carnival предложила двухлетний бесплатный мониторинг кредитной истории людям в США; в образце письма установлен срок регистрации — 31 августа 2026 года. Независимо от этого предложения FTC сообщает, что заморозка кредитной истории бесплатна, не влияет на кредитный рейтинг, действует до тех пор, пока вы её не снимете, и пока она установлена, никто не может открыть на ваше имя новый кредитный счёт.
Нужно обратиться отдельно в Equifax, Experian и TransUnion. В FAQ Carnival заморозка или предупреждение о мошенничестве названы личным решением; при утечке, которая включает дату рождения и номер документа, этот сайт рекомендует заморозку.
Паспорт у вас на руках? Не заявляйте его утерянным или украденным
Госдепартамент США сообщает, что после заявления о утере или краже действующего паспорта им нельзя пользоваться для международных поездок, даже если вы его найдете позже, а заявление не заменяет документ; онлайн-заявления аннулируют паспорт в течение одного рабочего дня.
Эта процедура предназначена для паспорта, который физически пропал. Если ваш паспорт лежит в ящике стола, а в утечке появился только его номер, заявление аннулирует действующий документ, и вам придётся оформлять новый.
Паспорт действительно утерян или украден? Сообщите немедленно
Если физический паспорт пропал, ситуация меняется: сообщите об этом сразу. Для паспортов США Госдепартамент принимает заявления онлайн, по почте с формой DS-64 или лично при подаче заявления на новый паспорт.
Для японских паспортов Министерство иностранных дел Японии сообщает, что паспорт, заявленный как утерянный, становится недействительным и не может использоваться, даже если будет найден, и что заявление об утере и новую заявку можно подать одновременно.
Путешественники из Японии: следите и за сообщениями на японском
Индивидуальные уведомления написаны на английском, но последующие сообщения могут быть на любом языке. Относитесь к письмам или SMS на японском о «вашем круизе», «возврате средств» или «данных паспорта» так же: не переходите по ссылкам, проверяйте через официальный сайт.
Если вы беспокоитесь об открытии счетов на ваше имя в Японии, одним из вариантов является самодекларация в кредитных бюро, описанная в статье об утечке Times Car; спросите каждое бюро, подпадает ли утёкший номер под это правило.
Номер вашего паспорта был в данных Carnival
Физический паспорт у вас на руках?
↓
Да, он у меня
→ Не заявляйте его утерянным или украденным (это его аннулирует)
→ Не доверяйте сообщениям, которые цитируют ваш номер
→ Жители США: заморозка кредитной истории в 3 бюро
Нет, он утерян или украден
→ Сообщите сейчас (США: онлайн / DS-64; Япония: заявление об утере)
→ Старый паспорт аннулирован, даже если будет найден
→ Оформите новый паспорт
Что произошло (по уведомлению Carnival Corporation и данным штатов)
Всё ниже изложено так, как указала Carnival Corporation в своем уведомлении, образце письма затронутым людям и FAQ, либо как указано регуляторами штатов.
10 апреля 2026
Дата нарушения по данным заявлений компании в генеральные прокуратуры штатов Мэн и Калифорния.14 апреля
Команда по ИБ компании выявила несанкционированную активность, связанную с учетной записью сотрудника. Неизвестный злоумышленник с помощью социальной инженерии обманул сотрудника. Компания сообщает, что заблокировала активность и начала работу с внешними экспертами по безопасности.22 апреля
Компания впервые установила, что персональные данные были скопированы.27 мая
Опубликованы уведомления; начата рассылка писем затронутым людям. В заявлении в штате Мэн указано 5 995 277 человек.31 августа
Срок регистрации на бесплатный мониторинг кредитной истории в США по образцу письма.
- Кто
- Carnival Corporation. В её индивидуальном письме она описана как материнская компания Carnival Cruise Line. В уведомлении затронутые люди не разбиты по брендам или странам
- Затронутые данные
- Имя, адрес, адрес электронной почты, номер телефона, дата рождения и номера удостоверений, выданных государством (например, водительских прав и паспортов). Зависит от человека; в каждом письме перечислены сведения именно этого человека
- Как произошёл доступ
- Неизвестный злоумышленник с помощью социальной инженерии обманул сотрудника и получил доступ к ограниченной части ИТ-системы компании
- Локализация
- Компания сообщает, что не знает о какой-либо несанкционированной активности с момента её прекращения 14 апреля
- Меры компании
- Усиленные средства безопасности и мониторинга; правоохранительные органы уведомлены
- Предложение
- Два года бесплатного мониторинга кредитной истории для людей в США (срок регистрации в образце письма: 31 августа 2026 года)
- Контакт
- 1-844-593-8310, с 8:00 до 20:00 по восточному времени, пн–пт
Как это читать: названия брендов и большие цифры в интернете
В некоторых онлайн-публикациях инцидент связывают с программой лояльности конкретного бренда или приводят большее число записей. Эти сведения исходят от стороны, которая похитила данные, или от внешнего анализа, а не из уведомления Carnival.
Эта статья использует только то, что опубликовали компания и регуляторы штатов: 5 995 277 человек и никакой разбивки по брендам.
Что меняет и что не меняет утечка номера паспорта
Что остаётся прежним
- Паспорт у вас на руках по-прежнему действителен (ничто в уведомлении его не аннулирует)
- Процедура заявления об утере или краже по-прежнему предназначена для утерянных или украденных документов
- Планы поездки из-за одного только номера менять не нужно
Что меняется
- Номер документа перестаёт работать как доказательство, что звонящий тот, за кого себя выдаёт, или что он вас знает
- В сообщениях могут цитировать ваши реальные данные (имя, дату рождения, номер)
- Тот же номер остаётся действующим годами, пока не истечёт срок паспорта
Номер паспорта кажется важным из-за того, как его используют. Туристические компании обычно собирают его для международных поездок, где он хранится в бронировании вместе с именем и датой рождения. Поэтому он воспринимается как пароль.
Но в отличие от пароля он никогда не был секретом по замыслу: он напечатан на документе и записан во множестве анкет. После утечки знание номера больше не является причиной кому-либо доверять. Сообщение или звонок, в которых цитируется номер паспорта, доказывают лишь то, что отправитель видел утёкшие данные.
Позиция этого сайта: относитесь к номеру паспорта как к имени — это сведения, которые другие могут знать, а не секрет
Для путешественников практическое правило такое: никогда не считайте знание вашего номера паспорта доказательством личности. Не доверяйте звонящему только потому, что он его знает, и не сообщайте номер тому, кто просит его «подтвердить».
Для компаний, которые хранят номера паспортов, урок этого случая и утечки Odido один и тот же: номера, собранные для проверки личности, утекают из компаний, которые их собирают и хранят. Carnival говорит, что доступ начался с обмана сотрудника. Поэтому:
- Храните данные паспортов в хранилище, которое обычные учетные записи сотрудников не могут читать массово
- Удаляйте их после поездки, если только правило не требует их хранить
- Включите устойчивый к фишингу вход (passkeys или ключи безопасности) для каждой учетной записи, которая имеет к ним доступ
О том, почему MFA на основе кодов недостаточна, рассказано в статье об утечке DentaQuest.
Для туристических и бронировочных сервисов, которые хранят номера документов
Отделите хранилище паспортов от повседневных учетных записей
Сотрудникам, работающим с бронированиями, редко нужно выгружать номера паспортов. Пусть они просматривают запись одного гостя при необходимости, и не давайте ни одной повседневной учетной записи возможность читать всю таблицу. Тогда учетная запись обманутого сотрудника раскроет несколько записей, а не всю таблицу.
Удаляйте данные после рейса, если правило не требует иного
Данные паспортов обычно собирают для посадки и пограничных формальностей. После поездки составьте список правил, которые требуют их хранения и на какой срок, и автоматически удаляйте остальное. Данные, которых больше нет, нельзя скопировать.
Сообщайте гостям, как вы будете и как не будете с ними связываться
До того как что-либо произойдет, опубликуйте, что вы никогда не запрашиваете номер паспорта по электронной почте или телефону, и где гости могут проверить сообщения. После утечки именно эта фраза позволяет гостям игнорировать подделки. Общие базовые требования описаны в Минимальная базовая линия безопасности для организаций.
Источники (публичные документы)
Факты в этой статье взяты из следующих публичных источников. Утверждения и цифры от стороны, которая похитила данные, не используются.
- Carnival Corporation, Website Notice – Substitute Notice, Notice of Data Breach and FAQs (27 мая 2026) — carnivalcorp.com (PDF)
- Carnival Corporation, Notice of Data Breach (пресс-релиз, 27 мая 2026) — prnewswire.com
- Генеральная прокуратура штата Мэн, Data Breach Notification: Carnival Corporation (5 995 277 всего; нарушение 10 апреля 2026; обнаружено 14 апреля 2026) — maine.gov (архивная копия)
- Генеральная прокуратура штата Калифорния, Carnival Corporation breach listing and sample individual notice (27 мая 2026) — oag.ca.gov
- Carnival Corporation, корпоративный сайт (круизные бренды) — carnivalcorp.com
- Госдепартамент США, Report Your Passport Lost or Stolen — travel.state.gov
- Министерство иностранных дел Японии, документы для оформления паспорта, включая заявления об утере (на японском) — mofa.go.jp
- FTC, Credit Freezes and Fraud Alerts — consumer.ftc.gov
История обновлений
2026-09-30: Первая версия, основанная на уведомлении Carnival Corporation от 27 мая 2026 года, FAQ и образце письма, её заявлениях в генеральные прокуратуры штатов Мэн и Калифорния, а также на рекомендациях Госдепартамента США, Министерства иностранных дел Японии и FTC. Статья будет обновлена, если компания опубликует новые цифры или подробности.
Читайте далее
- Похожая ситуация в Европе: Odido (Нидерланды, утекли номера паспортов и водительских прав)
- Утечка удостоверений личности в Японии: Утечка Times Car (изображения водительских прав)
- Ещё один случай 2026 года, начавшийся с обманутого сотрудника: Утечка DentaQuest (SSN, номера Medicaid и Medicare)
- Последующие мошеннические схемы: Что такое фишинг?
- Более надёжный вход: Выбор многофакторной аутентификации / Что такое passkey?
- Другие инциденты 2026 года: список утечек и кибератак (Япония и весь мир)