Hackeo a Expedia: ataque a proveedor confirmado

¿Hackearon a Expedia?

Sí: el 12 de noviembre de 2026 Expedia Group confirmó que los atacantes llegaron a sus sistemas a través de un proveedor externo de plataformas de datos comprometido, en un ataque a la cadena de suministro que también afectó a otras empresas ^[1].

En una declaración a la publicación del sector turístico Skift, Expedia dijo que era «consciente de un ataque a la cadena de suministro, notificado por investigadores de seguridad» ^[1]. Skift informa de que Expedia describió que los atacantes comprometieron a un proveedor externo de plataformas de datos y usaron ese acceso para llegar a varias empresas ^[1]. Skift informa también de que Expedia dijo que contuvo el problema en cuanto tuvo conocimiento de él, que investiga con expertos externos en seguridad y que sus plataformas siguen siendo seguras para viajeros y socios ^[1].

Lo que Expedia no dijo importa tanto como lo que dijo ^[1]:

• No nombró al proveedor comprometido.
• No indicó qué información de clientes, si la hubo, quedó expuesta.
• No dio el número de personas afectadas.

La confirmación llegó después de que varios sitios de ciberseguridad informaran de que un grupo extorsionador llamado n0n afirmaba haber robado datos de Expedia ^[1]. Expedia Group gestiona marcas como Expedia, Hotels.com, Vrbo, Travelocity, Hotwire, Orbitz y Trivago ^[5].

¿Qué datos afirma tener el grupo n0n?

n0n afirma haber robado más de un terabyte de datos de Expedia, sobre todo registros de clientes, pero Expedia no ha confirmado ninguna de sus cifras ^[5][1]. Según Cybernews, el grupo amenazó con publicar los datos si Expedia no llegaba a un acuerdo ^[4]; Skift señala que en su página de la dark web no apareció ningún rescate concreto ^[1].

El botín que afirma tener el grupo, según Cybernews y Cyber Daily, incluye ^[4][5]:

• 830.069.282 filas de datos de programas de fidelización en 800 archivos, con direcciones de correo electrónico, números de socio, saldos de puntos en 21 monedas y valores de reservas de 35 programas identificados.
• Unas 58 millones de filas de perfiles de viajeros con direcciones de correo electrónico, fechas de cuenta y aeropuertos de origen.
• Unos 333 millones de registros de cuentas de consumidores que vinculan identificadores de cuenta y direcciones de correo con «tokens similares a contraseñas».
• Archivos de eventos de reserva con números de pedido, identificadores de itinerario y valores de reservas, además de 22-23 millones de registros de viajes.
• Casi 500.000 registros de comunicaciones con huéspedes.

El número de filas no equivale al número de personas: una misma persona puede aparecer en muchas filas y archivos. El grupo también afirmó haber accedido al código fuente y a sistemas de producción en la nube ^[4].

¿Se han filtrado datos de Expedia?

Cyber Daily informó el 12 de noviembre de 2026 de que n0n ha publicado en la dark web parte del supuesto conjunto de datos ^[5]. El archivo comprimido contiene 11 carpetas con cientos de miles de direcciones de correo electrónico vinculadas a datos de viajes, entre ellos datos de inicio de sesión, estancias en hoteles, comunicaciones y datos de fidelización como identificadores de usuario de viajeros y totales de puntos ^[5].

Conviene tener en cuenta dos cautelas ^[5]:

• Varias de las direcciones de correo ya habían aparecido en filtraciones anteriores, según Have I Been Pwned, aunque muchas no.
• Los intervalos de fechas de varios archivos sugieren que los datos podrían ser históricos y no actuales.

Cyber Daily dijo que Expedia declinó comentar las afirmaciones concretas de los hackers ^[5]. Cyber Daily cita una publicación de filtración de n0n del 3 de noviembre como la primera afirmación ^[5]. Hasta que Expedia o un investigador independiente publique conclusiones, el tamaño y la actualidad de cualquier filtración siguen sin verificarse.

¿Cómo funcionó el ataque a la cadena de suministro de Expedia?

Expedia solo ha dicho que un proveedor externo de plataformas de datos fue comprometido y que se abusó de su acceso de confianza ^[1]. Por separado, investigadores de seguridad han documentado una campaña que afecta a Qubole, una plataforma de datos en la nube; Skift informa de que los investigadores no han nombrado públicamente a Expedia como cliente afectado ^[1].

La empresa de seguridad en la nube Wiz, en colaboración con Sentra y Mandiant, informó de que entre el 14 y el 26 de octubre de 2026 un atacante utilizó credenciales IAM de una cuenta de AWS asociada a Qubole, una plataforma de big data, para asumir roles que los clientes habían creado para confiar en Qubole ^[3]. Una vez dentro, el atacante enumeró recursos, recopiló secretos de AWS Secrets Manager, SSM Parameter Store y la configuración de Lambda, probó las claves robadas con la herramienta TruffleHog y descargó datos de buckets de almacenamiento S3 ^[3][2].

Wiz dijo que la mayoría de los roles utilizados estaban inactivos por lo demás: las políticas de confianza seguían vigentes, así que las solicitudes prosperaron ^[3]. Sentra descubrió que antiguos clientes de Qubole nunca habían revocado el acceso concedido y confirmó decenas de víctimas, con millones de archivos sustraídos solo de un cliente ^[1][2]. Qubole fue en su día proveedor de Expedia, pero Expedia no ha confirmado si su filtración guarda relación ^[1].

AWS dijo a BleepingComputer que sus servicios «no se vieron comprometidos por este problema y funcionaron según lo diseñado»; el atacante usó credenciales vinculadas a un proveedor externo ^[2].

¿Qué deben hacer ahora los clientes de Expedia?

El riesgo más probable para los clientes es el phishing dirigido: los investigadores de seguridad advierten de que los estafadores podrían usar datos de reservas para enviar mensajes convincentes ^[4]. Estos pasos se derivan de lo que se sabe hasta ahora:

1. Desconfíe de los mensajes sobre reservas que no esperaba, sobre todo los que mencionan viajes reales, saldos de puntos o niveles de fidelización y le piden pagar, «verificar» una tarjeta o iniciar sesión mediante un enlace ^[4].
2. Abra la aplicación de Expedia o escriba usted mismo la dirección del sitio web en lugar de seguir enlaces de correos, mensajes de texto o WhatsApp. What Is Phishing? How to Recognise Fake Emails, Texts and QR Codes explica las señales de alerta.
3. Cambie su contraseña si la reutiliza en otros sitios, porque el grupo afirma tener «tokens similares a contraseñas» ^[4]; una contraseña única limita el daño.
4. Active la verificación en dos pasos donde sus cuentas de viaje la ofrezcan; Two-Factor Authentication Explained: Which 2FA Method Is Safest? explica qué métodos son más sólidos.
5. Compruebe si su correo aparece en filtraciones conocidas; Cyber Daily usó Have I Been Pwned para comparar los correos filtrados ^[5]. Was My Data Leaked? How to Check and What to Do After a Data Breach explica qué hacer a continuación.

El phishing en el sector turístico tras una filtración no es hipotético. Después de que Booking.com revelara en abril de 2026 una filtración de datos de reservas de clientes, estos denunciaron correos de phishing, llamadas y mensajes de WhatsApp que hacían referencia a sus reservas ^[4].

¿Qué deben comprobar las empresas que usan proveedores de datos en la nube?

Los administradores deben buscar usos inesperados de roles por parte de cuentas de proveedores y eliminar las relaciones de confianza que ya no necesiten ^[2][3].

• Revisar los registros de AWS CloudTrail desde el 1 de octubre en adelante para detectar accesos sospechosos desde la cuenta de AWS de Qubole y, después, investigar cualquier acceso posterior a secretos y a S3 ^[2].
• Rotar las credenciales que pudieran haber quedado expuestas y revocar las sesiones de rol activas ^[2].
• Eliminar las integraciones sin uso y restringir los permisos, las identidades de confianza y las redes de origen permitidas de los roles restantes ^[2].
• Buscar nombres de sesión de rol que empiecen por «quiam-», que Wiz vio utilizar al atacante de forma constante, como quiam-enum ^[3].

La propia recomendación de AWS es revisar periódicamente los roles IAM entre cuentas, eliminar el acceso de las integraciones que ya no se usan, conceder permisos de mínimo privilegio y añadir condiciones, como restricciones de IP de origen, a las políticas de confianza de los roles ^[2]. Sentra observó que el atacante recopilaba secretos a un ritmo de 100 contraseñas y claves en siete minutos, así que la detección rápida es importante ^[2].

¿Quién es el grupo extorsionador n0n?

n0n es un actor de extorsión relativamente nuevo que surgió en septiembre de 2026 y afirmó tener 204 víctimas solo en octubre, según Cyber Daily ^[5]. En lo que va de noviembre (a 12 de noviembre) había publicado en su sitio de filtraciones más de 100 víctimas adicionales, muchas de ellas identificadas solo con un número ^[5].

La empresa de seguridad SOCRadar, citada por Cyber Daily, dijo que en septiembre de 2026 encontró un servidor de preparación expuesto vinculado a un operador de n0n, que revelaba herramientas, infraestructura de extorsión y un entorno de agente de programación con IA respaldado por más de 7.000 US$ en uso de modelos de IA de pago ^[5]. What Are AI Agents? How They Work, What They Can Do and Where They Fail explica cómo funcionan estos agentes. SOCRadar dijo que n0n se apoya en credenciales comprometidas y no en vulnerabilidades conocidas, y que no encontró cargas de explotación ni referencias a CVE; los puntos de entrada documentados incluyen el credential stuffing contra portales VPN, contraseñas débiles de acceso remoto y claves de AWS expuestas ^[5].

Algunos analistas de inteligencia de amenazas habían dudado de las afirmaciones del grupo, informa Cyber Daily, pero muchos ven ahora en él una amenaza emergente seria, aunque no sea una operación tradicional de ransomware ^[5].

¿Qué ocurrirá a continuación?

Las principales preguntas abiertas son qué proveedor fue comprometido, qué datos quedaron realmente expuestos y si Expedia notificará a los clientes afectados ^[1]. Hasta ahora Expedia no ha dicho que haya habido datos de clientes implicados ^[1].

Conviene estar atento a tres cosas: un aviso formal de Expedia a clientes o reguladores; las conclusiones de sus investigadores externos; y si los investigadores de seguridad vinculan el incidente de Expedia con la campaña de Qubole ^[1][3]. Hasta entonces, las grandes cifras de registros que circulan en línea deben tratarse como afirmaciones de los atacantes ^[4][5].