Expedia məlumat sızması: təchizat zənciri hücumu

Expedia haker hücumuna məruz qalıb?

Bəli: 2026-cı il noyabrın 12-də Expedia Group hücumçuların üçüncü tərəf data platforması təchizatçısının pozulması vasitəsilə sistemlərinə daxil olduğunu, bu təchizat zənciri hücumunun digər şirkətlərə də təsir etdiyini təsdiqləyib ^[1].

Səyahət sənayesi nəşri Skift-ə verdiyi bəyanatda Expedia “təhlükəsizlik tədqiqatçıları tərəfindən bildirilən təchizat zənciri hücumundan xəbərdar olduğunu” deyib ^[1]. Skift yazır ki, Expedia hücumçuların üçüncü tərəf data platforması təchizatçısını pozduğunu və bu girişdən bir neçə şirkətə çatmaq üçün istifadə etdiyini təsvir edib ^[1]. Skift-in məlumatına görə, Expedia həmçinin problemdən xəbər tutan kimi onu məhdudlaşdırdığını, kənar təhlükəsizlik mütəxəssisləri ilə araşdırdığını və platformalarının səyahətçilər və tərəfdaşlar üçün təhlükəsiz qaldığını bildirib ^[1].

Expedia-nın demədikləri də deyilənlər qədər vacibdir ^[1]:

• Pozulmuş təchizatçının adını çəkməyib.
• Müştəri məlumatlarının, əgər olubsa, nələrinin açıldığını bildirməyib.
• Təsirlənən insanların sayını verməyib.

Təsdiq bir neçə kibertəhlükəsizlik saytının n0n adlı təlan qrupunun Expedia məlumatlarını oğurladığına dair iddialarını yazmasından sonra gəldi ^[1]. Expedia Group Expedia, Hotels.com, Vrbo, Travelocity, Hotwire, Orbitz və Trivago brendlərini idarə edir ^[5].

n0n qrupu hansı məlumatlara sahib olduğunu iddia edir?

n0n Expedia-nın bir terabayt və daha çox məlumatını, əsasən müştəri qeydlərini oğurladığını iddia edir, lakin onun rəqəmlərinin heç biri Expedia tərəfindən təsdiqlənməyib ^[5][1]. Cybernews-in yazdığına görə, qrup Expedia razılaşma əldə etməsə, məlumatları dərc edəcəyi ilə hədələyib ^[4]; Skift qeyd edir ki, onun dark web səhifəsində konkret təlan məbləği görünməyib ^[1].

Cybernews və Cyber Daily-nin yazdığına görə, qrupun iddia etdiyi oğurluq bunları əhatə edir ^[4][5]:

• 800 faylda 830.069.282 sədaqət proqramı məlumat sətri; e-poçt ünvanları, üzv ID-ləri, 21 valyutada xal qalıqları və 35 adlı proqram üzrə rezervasiya dəyərləri.
• E-poçt ünvanları, hesab tarixləri və ev hava limanları olan təxminən 58 milyon səyahətçi profili sətri.
• Hesab ID-lərini və e-poçt ünvanlarını “parola bənzər tokenlərlə” birləşdirən təxminən 333 milyon istehlakçı hesabı qeydi.
• Sifariş nömrələri, səyahət marşrutu ID-ləri və rezervasiya dəyərləri olan rezervasiya hadisə faylları, üstəgəl 22-23 milyon səyahət qeydi.
• Təxminən 500.000 qonaq yazışması qeydi.

Sətir sayı insan sayı ilə eyni deyil: bir şəxs çoxlu sətirdə və faylda ola bilər. Qrup həmçinin mənbə koduna və istehsal bulud sistemlərinə girişi olduğunu iddia edib ^[4].

Expedia məlumatlarının hər hansı hissəsi sızıb?

Cyber Daily 2026-cı il noyabrın 12-də n0n-un iddia olunan verilənlər dəstinin bir hissəsini dark web-də dərc etdiyini yazıb ^[5]. Sıxılmış arxivdə səyahət məlumatlarına bağlı yüz minlərlə e-poçt ünvanını sadalayan 11 qovluq var; bura giriş məlumatları, otel qalmaları, yazışmalar və səyahətçi istifadəçi ID-ləri və xal cəmləri kimi sədaqət detalları daxildir ^[5].

İki ehtiyatlılıq nöqtəsi var ^[5]:

• Have I Been Pwned-ə görə, e-poçt ünvanlarının bir neçəsi əvvəlki sızmalarda görünmüşdü, lakin çoxu görünməmişdi.
• Bir neçə fayldakı tarix aralıqları məlumatların cari yox, tarixi ola biləcəyini göstərir.

Cyber Daily Expedia-nın hakerlərin konkret iddialarına şərh verməkdən imtina etdiyini bildirib ^[5]. Cyber Daily n0n-un noyabrın 3-də etdiyi sızma paylaşımını ilk iddia kimi göstərir ^[5]. Expedia və ya müstəqil araşdırmaçı nəticələr dərc edənə qədər istənilən sızmanın ölçüsü və yeniliyi təsdiqlənməmiş qalır.

Expedia təchizat zənciri hücumu necə işləyib?

Expedia yalnız üçüncü tərəf data platforması təchizatçısının pozulduğunu və onun etibarlı girişindən sui-istifadə edildiyini bildirib ^[1]. Təhlükəsizlik tədqiqatçıları ayrıca bulud data platforması Qubole ilə bağlı kampaniyanı sənədləşdiriblər; Skift yazır ki, tədqiqatçılar Expedia-nı təsirlənmiş müştəri kimi açıq şəkildə qeyd etməyiblər ^[1].

Bulud təhlükəsizliyi şirkəti Wiz, Sentra və Mandiant ilə birlikdə bildirib ki, 2026-cı il oktyabrın 14-dən 26-dək hücumçu böyük verilənlər platforması Qubole ilə əlaqəli AWS hesabının IAM kimlik məlumatlarından istifadə edərək müştərilərin Qubole-a etibar etmək üçün yaratdığı rolları üzərinə götürüb ^[3]. Daxil olduqdan sonra hücumçu resursları siyahıya alıb, AWS Secrets Manager, SSM Parameter Store və Lambda parametrlərindən sirləri toplayıb, oğurlanmış açarları TruffleHog aləti ilə sınayıb və S3 yaddaş qutularından məlumat yükləyib ^[3][2].

Wiz bildirib ki, istifadə olunan rolların çoxu başqa halda boş idi: etibar siyasətləri hələ də qüvvədə idi, buna görə sorğular uğurlu oldu ^[3]. Sentra müəyyən edib ki, Qubole-un keçmiş müştərilər verdikləri girişi heç vaxt ləğv etməyiblər və onlarla qurbanı təsdiqləyib, təkcə bir müştəridən milyonlarla fayl götürülüb ^[1][2]. Qubole bir vaxtlar Expedia-nın təchizatçısı olub, lakin Expedia onun pozuntusu ilə əlaqəli olub-olmadığını təsdiqləməyib ^[1].

AWS BleepingComputer-ə bildirib ki, onun xidmətləri “bu problemdən təsirlənməyib və nəzərdə tutulduğu kimi işləyib”; hücumçu üçüncü tərəf təchizatçı ilə bağlı kimlik məlumatlarından istifadə edib ^[2].

Expedia müştəriləri indi nə etməlidir?

Müştərilər üçün ən ehtimal olunan risk hədəfli fişinqdir: təhlükəsizlik tədqiqatçıları xəbərdarlıq edir ki, fırıldaqçılar rezervasiya detallarından inandırıcı mesajlar göndərmək üçün istifadə edə bilər ^[4]. Bu addımlar indiyədək məlum olanlardan irəli gəlir:

1. Gözləmədiyiniz rezervasiya mesajlarına şübhə ilə yanaşın, xüsusilə real səfərlərə, xal qalıqlarına və ya sədaqət səviyyələrinə istinad edən və sizdən ödəniş etməyi, kartı “təsdiqləməyi” və ya keçidlə daxil olmağı tələb edənlərə ^[4].
2. Expedia tətbiqini açın və ya sayt ünvanını özünüz yığın, e-poçt, mətn və ya WhatsApp mesajlarındakı keçidlərə klik etməyin. Fişinq nədir? Saxta e-poçtları, mətn mesajlarını və QR kodları necə tanımaq olar məqaləsində xəbərdarlıq əlamətləri izah olunur.
3. Başqa yerdə də istifadə edirsinizsə, parolunuzu dəyişin, çünki qrup “parola bənzər tokenlərə” sahib olduğunu iddia edir ^[4]; unikal parol ziyanı məhdudlaşdırır.
4. İki mərhələli doğrulamanı aktiv edin, səyahət hesablarınız bunu təklif edirsə; İki faktorlu autentifikasiya izah olunur: hansı 2FA üsulu ən təhlükəsizdir? məqaləsində hansı üsulların ən güclü olduğu izah edilir.
5. E-poçtunuzun məlum sızmalarda görünüb-görünmədiyini yoxlayın; Cyber Daily sızan e-poçtları müqayisə etmək üçün Have I Been Pwned-dən istifadə edib ^[5]. Məlumatlarım sızıb? Necə yoxlamaq və sızmadan sonra nə etmək olar məqaləsində sonrakı addımlar izah olunur.

Sızmalardan sonra səyahət fişinqi nəzəri deyil. Booking.com 2026-cı ilin aprelində müştəri rezervasiya məlumatlarının sızdığını açıqlayandan sonra müştərilər rezervasiyalarına istinad edən fişinq e-poçtları, zənglər və WhatsApp mesajları aldıqlarını bildiriblər ^[4].

Bulud data təchizatçılarından istifadə edən şirkətlər nəyi yoxlamalıdır?

Administratorlar təchizatçı hesablarının gözlənilməz rol istifadəsini axtarmalı və artıq ehtiyac duymadıqları etibar münasibətlərini silməlidir ^[2][3].

• Qubole-un AWS hesabından şübhəli girişi aşkar etmək üçün oktyabrın 1-dən etibarən AWS CloudTrail jurnallarını nəzərdən keçirin, sonra sonrakı sirr və S3 girişlərini araşdırın ^[2].
• Açılmış ola biləcək kimlik məlumatlarını dəyişdirin və aktiv rol sessiyalarını ləğv edin ^[2].
• İstifadə olunmayan inteqrasiyaları silin və qalan rolların icazələrini, etibar edilən kimlikləri və icazə verilən mənbə şəbəkələrini məhdudlaşdırın ^[2].
• Wiz-in hücumçunun ardıcıl istifadə etdiyini gördüyü “quiam-” ilə başlayan rol sessiya adlarını axtarın, məsələn quiam-enum ^[3].

AWS-in öz məsləhəti cross-account IAM rollarını müntəzəm nəzərdən keçirmək, artıq istifadə olunmayan inteqrasiyalar üçün girişi silmək, minimum imtiyaz prinsipi ilə icazələr vermək və rolun etibar siyasətlərinə mənbə IP məhdudiyyətləri kimi şərtlər əlavə etməkdir ^[2]. Sentra hücumçunun yeddi dəqiqədə 100 parol və açar sürətilə sirləri topladığını müşahidə edib, ona görə sürətli aşkarlama vacibdir ^[2].

n0n təlan qrupu kimdir?

Cyber Daily-yə görə, n0n 2026-cı ilin sentyabrında peyda olmuş nisbətən yeni təlan aktorudur və təkcə oktyabrda 204 qurban iddia edib ^[5]. Noyabrda indiyədək (12 noyabr tarixinə) 100-dən çox əlavə qurban siyahıya alıb, onların çoxu sızma saytında yalnız nömrə ilə göstərilib ^[5].

Cyber Daily-nin sitat gətirdiyi SOCRadar təhlükəsizlik şirkəti bildirib ki, 2026-cı ilin sentyabrında n0n operatoru ilə bağlı açıq qalmış sınaq serveri tapıb; orada alətlər, təlan infrastrukturu və 7.000 ABŞ dollarından çox ödənişli AI model istifadəsi ilə dəstəklənən süni intellekt kodlaşdırma agenti mühiti aşkar edilib ^[5]. Belə agentlərin necə işlədiyini AI agentləri nədir? Necə işləyir, nə edə bilir və harada uğursuz olur məqaləsi izah edir. SOCRadar bildirib ki, n0n məlum zəifliklərə yox, pozulmuş kimlik məlumatlarına arxalanır və exploit yükləri və ya CVE istinadları tapmayıb; sənədləşdirilmiş giriş nöqtələri VPN portallarına qarşı credential stuffing, zəif uzaqdan giriş parolları və açıq AWS açarlarıdır ^[5].

Cyber Daily yazır ki, bəzi təhdid kəşfiyyatı analitikləri qrupun iddialarına şübhə ilə yanaşırdı, lakin çoxları indi onu ənənəvi ransomware əməliyyatçısı olmasa da, ciddi yeni təhlükə kimi görür ^[5].

Bundan sonra nə olacaq?

Əsas açıq suallar hansı təchizatçının pozulduğu, hansı məlumatların faktiki açıldığı və Expedia-nın təsirlənmiş müştəriləri məlumatlandırıb-məlumatlandırmayacağıdır ^[1]. İndiyədək Expedia müştəri məlumatlarının iştirak etdiyini bildirməyib ^[1].

Üç şeyi izləyin: Expedia-dan müştərilərə və ya tənzimləyicilərə rəsmi bildiriş; kənar araşdırmaçıların nəticələri; və təhlükəsizlik tədqiqatçılarının Expedia insidentini Qubole kampaniyası ilə əlaqələndirib-əlaqələndirməməsi ^[1][3]. Ondan əvvəl internetdə dolaşan böyük qeyd sayları hücumçuların iddiaları kimi qəbul edilməlidir ^[4][5].