اختراق بيانات Expedia: تأكيد هجوم سلسلة التوريد

هل تعرّضت Expedia للاختراق؟

نعم: أكدت Expedia Group في 12 نوفمبر 2026 أن مهاجمين وصلوا إلى أنظمتها عبر مزوّد منصة بيانات تابع لجهة خارجية تعرّض للاختراق، في هجوم على سلسلة التوريد طال شركات أخرى أيضاً ^[1].

وقالت Expedia في بيان لمنشور صناعة السفر Skift إنها «على علم بهجوم على سلسلة التوريد أبلغ عنه باحثون أمنيون» ^[1]. وتنقل Skift أن Expedia وصفت اختراق المهاجمين لمزوّد منصة بيانات تابع لجهة خارجية واستخدامهم هذا الوصول للوصول إلى عدة شركات ^[1]. وتنقل Skift أيضاً أن Expedia قالت إنها احتوت المشكلة فور علمها بها، وإنها تحقق مع خبراء أمنيين خارجيين، وإن منصاتها ما زالت آمنة للمسافرين والشركاء ^[1].

وما لم تقله Expedia لا يقل أهمية ^[1]:

• لم تذكر اسم المورّد المخترَق.
• لم تذكر ما معلومات العملاء التي انكشفت، إن وُجدت.
• لم تذكر عدد المتضررين.

وجاء التأكيد بعد أن نشرت عدة مواقع للأمن السيبراني ادعاءات مجموعة ابتزاز تسمى n0n بأنها سرقت بيانات Expedia ^[1]. وتدير Expedia Group علامات تجارية منها Expedia وHotels.com وVrbo وTravelocity وHotwire وOrbitz وTrivago ^[5].

ما البيانات التي تزعم مجموعة n0n أنها تملكها؟

تزعم n0n أنها سرقت أكثر من تيرابايت واحد من بيانات Expedia، معظمها سجلات عملاء، لكن Expedia لم تؤكد أياً من أرقامها ^[5][1]. وبحسب Cybernews هددت المجموعة بنشر البيانات ما لم تتوصل Expedia إلى تسوية ^[4]؛ وتلاحظ Skift أنه لم يظهر مبلغ فدية محدد على صفحتها في الشبكة المظلمة ^[1].

وتشمل الغنيمة التي تزعمها المجموعة، بحسب ما أوردته Cybernews وCyber Daily، ما يلي ^[4][5]:

• 830,069,282 صفاً من بيانات برامج الولاء موزعة على 800 ملف، تتضمن عناوين بريد إلكتروني ومعرّفات أعضاء وأرصدة نقاط بـ21 عملة وقيم حجوزات لـ35 برنامجاً مسمّى.
• نحو 58 مليون صف من ملفات المسافرين تتضمن عناوين بريد إلكتروني وتواريخ إنشاء الحسابات والمطارات الرئيسية.
• نحو 333 مليون سجل حسابات مستهلكين تقرن معرّفات الحسابات وعناوين البريد الإلكتروني بـ«رموز شبيهة بكلمات المرور».
• ملفات أحداث الحجز بأرقام الطلبات ومعرّفات خطوط السفر وقيم الحجوزات، إضافة إلى 22-23 مليون سجل رحلة.
• قرابة 500,000 سجل مراسلات مع النزلاء.

وعدد الصفوف لا يساوي عدد الأشخاص: فالشخص الواحد قد يظهر في صفوف وملفات كثيرة. كما زعمت المجموعة وصولها إلى الشيفرة المصدرية وأنظمة السحابة الإنتاجية ^[4].

هل سُرّبت أي من بيانات Expedia؟

أفادت Cyber Daily في 12 نوفمبر 2026 بأن n0n نشرت جزءاً من مجموعة البيانات المزعومة على الشبكة المظلمة ^[5]. ويضم الأرشيف المضغوط 11 مجلداً تسرد مئات الآلاف من عناوين البريد الإلكتروني المرتبطة ببيانات سفر، منها تفاصيل تسجيل الدخول وإقامات الفنادق والمراسلات وتفاصيل الولاء مثل معرّفات مستخدمي المسافرين ومجاميع النقاط ^[5].

وهناك تحفظان ^[5]:

• ظهر عدد من عناوين البريد الإلكتروني في اختراقات سابقة بحسب Have I Been Pwned، وإن لم يظهر كثير منها.
• تشير نطاقات التواريخ في عدة ملفات إلى أن البيانات قد تكون قديمة لا حديثة.

وقالت Cyber Daily إن Expedia رفضت التعليق على ادعاءات المهاجمين المحددة ^[5]. وتشير Cyber Daily إلى منشور تسريب لـn0n بتاريخ 3 نوفمبر بوصفه أول ادعاء ^[5]. وإلى أن تنشر Expedia أو جهة تحقيق مستقلة نتائجها، يبقى حجم أي تسريب ومدى حداثته غير مؤكدين.

كيف عمل هجوم سلسلة التوريد على Expedia؟

اكتفت Expedia بالقول إن مزوّد منصة بيانات تابعاً لجهة خارجية تعرّض للاختراق وأُسيء استخدام وصوله الموثوق ^[1]. وقد وثّق باحثون أمنيون على نحو منفصل حملة تتعلق بـQubole، وهي منصة بيانات سحابية؛ وتنقل Skift أن الباحثين لم يذكروا علناً Expedia بوصفها عميلاً متضرراً ^[1].

وأفادت شركة أمن السحابة Wiz، بالتعاون مع Sentra وMandiant، بأن مهاجماً استخدم بين 14 و26 أكتوبر 2026 بيانات اعتماد IAM من حساب AWS مرتبط بـQubole، وهي منصة بيانات ضخمة، لتولّي أدوار كان العملاء قد أنشأوها لتثق بـQubole ^[3]. وبعد دخوله سرد الموارد، وجمع الأسرار من AWS Secrets Manager وSSM Parameter Store وإعدادات Lambda، واختبر المفاتيح المسروقة بأداة TruffleHog، وحمّل بيانات من حاويات التخزين S3 ^[3][2].

وقالت Wiz إن معظم الأدوار المستخدمة كانت خاملة في ما عدا ذلك: فسياسات الثقة كانت قائمة، ولذلك نجحت الطلبات ^[3]. ووجدت Sentra أن عملاء سابقين لـQubole لم يسحبوا قط الصلاحيات التي منحوها، وأكدت وجود عشرات الضحايا، مع سحب ملايين الملفات من عميل واحد فقط ^[1][2]. وكانت Qubole يوماً ما مورّداً لـExpedia، لكن Expedia لم تؤكد ما إذا كان اختراقها مرتبطاً بذلك ^[1].

وقالت AWS لموقع BleepingComputer إن خدماتها «لم تتعرض للاختراق بسبب هذه المشكلة وعملت كما صُمّمت»؛ فقد استخدم المهاجم بيانات اعتماد مرتبطة بمزوّد خارجي ^[2].

ماذا ينبغي لعملاء Expedia أن يفعلوا الآن؟

الخطر الأرجح على العملاء هو التصيّد الموجَّه: يحذّر باحثون أمنيون من أن المحتالين قد يستخدمون تفاصيل الحجز لإرسال رسائل مقنعة ^[4]. وتنبع الخطوات التالية مما هو معروف حتى الآن:

1. احذر من رسائل الحجز التي لم تكن تتوقعها، خصوصاً التي تذكر رحلات حقيقية أو أرصدة نقاط أو مستويات ولاء وتطلب منك الدفع أو «التحقق» من بطاقة أو تسجيل الدخول عبر رابط ^[4].
2. افتح تطبيق Expedia أو اكتب عنوان الموقع بنفسك بدلاً من اتباع الروابط في رسائل البريد الإلكتروني أو الرسائل النصية أو WhatsApp. ويتناول ما هو التصيّد الاحتيالي؟ كيف تتعرف على الرسائل الإلكترونية والنصية ورموز QR المزيفة علامات التحذير.
3. غيّر كلمة المرور إذا كنت تستخدمها في مواقع أخرى، لأن المجموعة تزعم أنها تملك «رموزاً شبيهة بكلمات المرور» ^[4]؛ وكلمة المرور الفريدة تحدّ من الضرر.
4. فعّل التحقق بخطوتين حيث تتيحه حسابات السفر لديك؛ ويشرح المصادقة الثنائية: أي طريقة 2FA هي الأكثر أماناً؟ أي الطرق أقوى.
5. تحقق مما إذا كان بريدك الإلكتروني ظاهراً في اختراقات معروفة؛ فقد استخدمت Cyber Daily موقع Have I Been Pwned لمقارنة عناوين البريد المسرّبة ^[5]. ويشرح هل سُرّبت بياناتي؟ كيف تتحقق وماذا تفعل بعد اختراق البيانات ما ينبغي فعله لاحقاً.

والتصيّد المرتبط بالسفر بعد الاختراقات ليس أمراً افتراضياً. فبعد أن أعلنت Booking.com اختراقاً لبيانات حجوز العملاء في أبريل 2026، أبلغ عملاء عن تلقي رسائل بريد إلكتروني ومكالمات ورسائل WhatsApp تصيّدية تشير إلى حجوزاتهم ^[4].

ماذا ينبغي للشركات التي تستخدم موردي بيانات سحابية أن تفحص؟

ينبغي للمسؤولين البحث عن استخدام غير متوقع للأدوار من حسابات الموردين، وإزالة علاقات الثقة التي لم تعد لازمة ^[2][3].

• راجع سجلات AWS CloudTrail اعتباراً من 1 أكتوبر بحثاً عن وصول مشبوه من حساب AWS التابع لـQubole، ثم افحص أي وصول لاحق إلى الأسرار وإلى S3 ^[2].
• بدّل بيانات الاعتماد التي ربما انكشفت وألغِ جلسات الأدوار النشطة ^[2].
• أزل عمليات التكامل غير المستخدمة وقيّد صلاحيات الأدوار المتبقية والهويات الموثوقة وشبكات المصدر المسموح بها ^[2].
• ابحث عن أسماء جلسات أدوار تبدأ بـ«quiam-»، وهو ما رصدت Wiz المهاجم يستخدمه باستمرار، مثل quiam-enum ^[3].

ونصيحة AWS نفسها هي مراجعة أدوار IAM العابرة للحسابات بانتظام، وإزالة الوصول عن عمليات التكامل التي لم تعد قيد الاستخدام، ومنح أقل الصلاحيات الممكنة، وإضافة شروط مثل قيود عنوان IP المصدر إلى سياسات الثقة الخاصة بالأدوار ^[2]. ورصدت Sentra المهاجم يجمع الأسرار بمعدل 100 كلمة مرور ومفتاح في سبع دقائق، ولذلك فإن سرعة الكشف مهمة ^[2].

من هي مجموعة الابتزاز n0n؟

n0n جهة ابتزاز حديثة نسبياً ظهرت في سبتمبر 2026 وزعمت وقوع 204 ضحايا في أكتوبر وحده، بحسب Cyber Daily ^[5]. وكانت قد أدرجت أكثر من 100 ضحية أخرى حتى الآن في نوفمبر (حتى 12 نوفمبر)، كثير منهم بالرقم فقط على موقع التسريب الخاص بها ^[5].

وقالت شركة الأمن SOCRadar، في ما نقلته Cyber Daily، إنها عثرت على خادم تجهيز مكشوف مرتبط بأحد مشغّلي n0n في سبتمبر 2026، كشف أدوات وبنية ابتزاز وبيئة وكيل برمجة بالذكاء الاصطناعي تدعمها أكثر من 7,000 دولار أمريكي من استخدام نماذج الذكاء الاصطناعي المدفوعة ^[5]. ويشرح ما وكلاء الذكاء الاصطناعي؟ كيف يعملون وماذا يستطيعون وأين يخفقون كيف تعمل هذه الوكلاء. وقالت SOCRadar إن n0n تعتمد على بيانات اعتماد مخترَقة لا على ثغرات معروفة، وإنها لم تجد حمولات استغلال ولا إشارات إلى CVE؛ وتشمل نقاط الدخول الموثقة حشو بيانات الاعتماد ضد بوابات VPN وكلمات مرور الوصول عن بُعد الضعيفة ومفاتيح AWS المكشوفة ^[5].

وتفيد Cyber Daily بأن بعض محللي استخبارات التهديدات شككوا في ادعاءات المجموعة، لكن كثيرين يرونها الآن تهديداً ناشئاً خطيراً حتى لو لم تكن عملية فدية تقليدية ^[5].

ماذا يحدث بعد ذلك؟

الأسئلة الرئيسية المفتوحة هي: أي مورّد تعرّض للاختراق، وما البيانات التي انكشفت فعلاً، وهل ستُخطر Expedia العملاء المتضررين ^[1]. وحتى الآن لم تقل Expedia إن بيانات العملاء كانت ضمن ما طاله الاختراق ^[1].

ترقّب ثلاثة أمور: إشعاراً رسمياً من Expedia إلى العملاء أو الجهات التنظيمية؛ ونتائج المحققين الخارجيين التابعين لها؛ وما إذا كان باحثون أمنيون سيربطون حادثة Expedia بحملة Qubole ^[1][3]. وإلى ذلك الحين ينبغي التعامل مع أعداد السجلات الكبيرة المتداولة على الإنترنت بوصفها ادعاءات المهاجمين ^[4][5].