خلاصه
تا ۱۳ نوامبر ۲۰۲۶، Expedia وقوع یک نقض داده را تأیید کرده است که در آن مهاجمان از راه یک ارائه‌دهنده شخص ثالث پلتفرم داده به سامانه‌های آن راه یافتند، اما نگفته است چه داده‌ای فاش شده است [1]. گروه اخاذی n0n مدعی است صدها میلیون رکورد مشتری در اختیار دارد؛ این ادعا تأیید نشده است [4][5].
نکته‌های کلیدی
- گروه Expedia در ۱۲ نوامبر ۲۰۲۶ در بیانیه‌ای به Skift حمله زنجیره تأمین را تأیید کرد [1].
- Expedia نه فروشنده را نام برده، نه داده افشاشده را و نه شمار افراد متأثر را [1].
- گروه اخاذی n0n مدعی است بیش از ۸۳۰ میلیون ردیف مربوط به برنامه‌های وفاداری و ۵۸ میلیون ردیف پروفایل مسافران را دارد؛ این ارقام ادعای خود مهاجمان است [4][5].
- حمله‌ای جداگانه در اکتبر ۲۰۲۶ از دسترسی ابری مرتبط با Qubole، یکی از فروشندگان پیشین Expedia، سوءاستفاده کرد؛ Expedia وجود هیچ ارتباطی را تأیید نکرده است [1][3].
- خطر اصلی برای مسافران در حال حاضر فیشینگ متقاعدکننده‌ای است که از جزئیات واقعی رزرو استفاده میکند [4].
- Expedia میگوید پلتفرم‌هایش برای مسافران و شرکا ایمن باقی مانده است [1].
در این صفحه ۱۲ بخش
- آیا Expedia هک شده است؟
- گروه n0n ادعا میکند چه داده‌هایی دارد؟
- آیا دادههای Expedia درز کرده است؟
- حمله زنجیره تأمین به Expedia چگونه انجام شد؟
- مشتریان Expedia اکنون چه کنند؟
- شرکتهایی که از فروشندگان داده ابری استفاده میکنند چه چیزهایی را باید بررسی کنند؟
- گروه اخاذی n0n کیست؟
- بعد چه خواهد شد؟
- اشتباه‌های رایج
- پرسش‌های پرتکرار
- واژه‌نامه
- منابع
آیا Expedia هک شده است؟
بله: در ۱۲ نوامبر ۲۰۲۶ گروه Expedia تأیید کرد که مهاجمان از راه یک ارائه‌دهنده شخص ثالث پلتفرم داده که دچار نفوذ شده بود به سامانه‌هایش دست یافتند؛ حمله‌ای زنجیره تأمین که شرکت‌های دیگری را هم هدف قرار داد [1].
Expedia در بیانیه‌ای به نشریه صنعت گردشگری Skift گفت از «حمله‌ای در زنجیره تأمین که پژوهشگران امنیتی گزارش کردهاند» آگاه است [1]. Skift گزارش میدهد Expedia توصیف کرد که مهاجمان یک ارائه‌دهنده شخص ثالث پلتفرم داده را در اختیار گرفتند و از آن دسترسی برای رسیدن به چند شرکت استفاده کردند [1]. به گزارش Skift، Expedia همچنین گفت به‌محض آگاهی مشکل را مهار کرده، همراه با کارشناسان امنیتی بیرونی در حال بررسی است و پلتفرم‌هایش برای مسافران و شرکا ایمن باقی مانده است [1].
آنچه Expedia نگفت به‌اندازه آنچه گفت اهمیت دارد [1]:
- نام فروشنده‌ای که دچار نفوذ شده را اعلام نکرد.
- نگفت چه اطلاعاتی از مشتریان، در صورت وجود، فاش شده است.
- شمار افراد متأثر را اعلام نکرد.
این تأیید پس از آن آمد که چند سایت امنیت سایبری ادعای گروه اخاذی‌ای به نام n0n را مبنی بر سرقت دادههای Expedia گزارش کردند [1]. گروه Expedia برندهایی مانند Expedia، Hotels.com، Vrbo، Travelocity، Hotwire، Orbitz و Trivago را اداره میکند [5].
گروه n0n ادعا میکند چه داده‌هایی دارد؟
n0n ادعا میکند بیش از یک ترابایت داده Expedia، عمدتاً رکوردهای مشتریان، را سرقت کرده است، اما Expedia هیچ‌یک از ارقام این گروه را تأیید نکرده است [5][1]. به گزارش Cybernews، این گروه تهدید کرد اگر Expedia به توافق نرسد داده‌ها را منتشر خواهد کرد [4]؛ Skift یادآور می‌شود در صفحه این گروه در دارکوب مبلغ مشخصی به‌عنوان باج دیده نشد [1].
غنیمتی که این گروه ادعا میکند، بر پایه گزارش Cybernews و Cyber Daily، شامل موارد زیر است [4][5]:
- ۸۳۰٬۰۶۹٬۲۸۲ ردیف داده برنامه‌های وفاداری در ۸۰۰ فایل، با نشانی‌های ایمیل، شناسه‌های عضویت، موجودی امتیاز در ۲۱ ارز و ارزش رزروها برای ۳۵ برنامه نام‌برده‌شده.
- حدود ۵۸ میلیون ردیف پروفایل مسافران با نشانی ایمیل، تاریخ ایجاد حساب و فرودگاه محل سکونت.
- حدود ۳۳۳ میلیون رکورد حساب مصرف‌کننده که شناسه حساب و نشانی ایمیل را با «توکن‌های شبیه گذرواژه» جفت میکند.
- فایل‌های رویداد رزرو با شماره سفارش، شناسه برنامه سفر و ارزش رزرو، به‌علاوه ۲۲ تا ۲۳ میلیون رکورد سفر.
- نزدیک به ۵۰۰٬۰۰۰ رکورد مکاتبات با میهمانان.
شمار ردیف‌ها با شمار افراد برابر نیست: یک نفر می‌تواند در ردیف‌ها و فایل‌های بسیار ظاهر شود. این گروه همچنین مدعی دسترسی به کد منبع و سامانه‌های ابری عملیاتی شد [4].
آیا دادههای Expedia درز کرده است؟
Cyber Daily در ۱۲ نوامبر ۲۰۲۶ گزارش داد n0n بخشی از مجموعه داده ادعایی را در دارکوب منتشر کرده است [5]. این آرشیو فشرده شامل ۱۱ پوشه است که صدها هزار نشانی ایمیل مرتبط با دادههای سفر را فهرست میکند، از جمله اطلاعات ورود، اقامت در هتل، مکاتبات و جزئیات وفاداری مانند شناسه کاربری مسافران و مجموع امتیازها [5].
دو احتیاط لازم است [5]:
- به گفته Have I Been Pwned، چند نشانی ایمیل پیش‌تر در نقض‌های دیگر ظاهر شده بودند، هرچند بسیاری نشده بودند.
- بازه‌های تاریخی در چند فایل نشان میدهد ممکن است داده‌ها قدیمی باشند، نه جاری.
Cyber Daily گفت Expedia از اظهارنظر درباره ادعاهای مشخص هکرها خودداری کرد [5]. Cyber Daily پستی را که n0n در ۳ نوامبر درباره درز داده منتشر کرد، نخستین ادعا می‌داند [5]. تا زمانی که Expedia یا یک بازپرس مستقل یافته‌هایش را منتشر نکند، اندازه و تازگی هر درز داده تأییدنشده می‌ماند.
حمله زنجیره تأمین به Expedia چگونه انجام شد؟
Expedia فقط گفته است یک ارائه‌دهنده شخص ثالث پلتفرم داده دچار نفوذ شده و از دسترسی مورد اعتماد آن سوءاستفاده شده است [1]. پژوهشگران امنیتی جداگانه کارزاری را مستند کردهاند که Qubole، یک پلتفرم داده ابری، در آن نقش دارد؛ Skift گزارش میدهد این پژوهشگران Expedia را به‌طور عمومی به‌عنوان مشتری متأثر نام نبرده‌اند [1].
شرکت امنیت ابری Wiz، با همکاری Sentra و Mandiant، گزارش داد که میان ۱۴ تا ۲۶ اکتبر ۲۰۲۶ مهاجمی از اعتبارنامههای IAM یک حساب AWS مرتبط با Qubole، پلتفرمی برای کلان‌داده، استفاده کرد تا نقش‌هایی را بر عهده بگیرد که مشتریان برای اعتماد به Qubole ساخته بودند [3]. مهاجم پس از ورود، منابع را فهرست کرد، رمزها را از AWS Secrets Manager، SSM Parameter Store و تنظیمات Lambda گردآوری کرد، کلیدهای سرقت‌شده را با ابزار TruffleHog آزمود و داده‌ها را از سطل‌های ذخیره‌سازی S3 دانلود کرد [3][2].
Wiz گفت بیشتر نقشهای مورد استفاده در غیر این صورت بی‌کار بودند: سیاست‌های اعتماد همچنان برقرار بود و درخواست‌ها موفق شدند [3]. Sentra دریافت که مشتریان پیشین Qubole هرگز دسترسی اعطاشده را لغو نکرده بودند، و ده‌ها قربانی را تأیید کرد؛ تنها از یک مشتری میلیون‌ها فایل برداشته شده بود [1][2]. Qubole زمانی فروشنده Expedia بود، اما Expedia تأیید نکرده است که نقض آن به این ماجرا ربط دارد یا نه [1].
AWS به BleepingComputer گفت سرویس‌هایش «از این مسئله آسیب ندیدند و طبق طراحی عمل کردند»؛ مهاجم از اعتبارنامههای مرتبط با یک ارائه‌دهنده شخص ثالث استفاده کرده بود [2].
مشتریان Expedia اکنون چه کنند؟
محتمل‌ترین خطر برای مشتریان فیشینگ هدفمند است: پژوهشگران امنیتی هشدار می‌دهند کلاهبرداران می‌توانند با جزئیات رزرو پیام‌های متقاعدکننده بفرستند [4]. این گام‌ها از آنچه تاکنون معلوم شده نتیجه می‌شوند:
- به پیام‌های رزرو که انتظارش را نداشتید مشکوک باشید، به‌ویژه آن‌هایی که به سفرهای واقعی، موجودی امتیاز یا سطح وفاداری اشاره میکنند و از شما می‌خواهند پرداخت کنید، کارتی را «تأیید» کنید یا از راه یک پیوند وارد شوید [4].
- خودتان برنامه Expedia را باز کنید یا نشانی وب‌سایت را تایپ کنید، به‌جای دنبال کردن پیوندها در ایمیل، پیامک یا پیام‌های WhatsApp. What Is Phishing? How to Recognise Fake Emails, Texts and QR Codes نشانه‌های هشداردهنده را توضیح میدهد.
- اگر گذرواژه‌تان را جای دیگر هم استفاده کرده‌اید آن را عوض کنید، زیرا این گروه مدعی است «توکن‌های شبیه گذرواژه» دارد [4]؛ گذرواژه یکتا آسیب را محدود میکند.
- تأیید دومرحله‌ای را فعال کنید هر جا حساب‌های سفرتان آن را ارائه می‌دهند؛ Two-Factor Authentication Explained: Which 2FA Method Is Safest? توضیح میدهد کدام روش‌ها قوی‌ترین‌اند.
- بررسی کنید ایمیل شما در نقض‌های شناخته‌شده ظاهر شده است یا نه؛ Cyber Daily برای مقایسه ایمیل‌های درزکرده از Have I Been Pwned استفاده کرد [5]. Was My Data Leaked? How to Check and What to Do After a Data Breach توضیح میدهد بعد از آن چه باید کرد.
فیشینگ سفر پس از نقض داده فرضی نیست. پس از آنکه Booking.com در آوریل ۲۰۲۶ نقض دادههای رزرو مشتریان را اعلام کرد، مشتریان از ایمیل‌ها، تماس‌ها و پیام‌های WhatsApp فیشینگ با اشاره به رزروهایشان خبر دادند [4].
شرکتهایی که از فروشندگان داده ابری استفاده میکنند چه چیزهایی را باید بررسی کنند؟
مدیران سیستم باید به‌دنبال استفاده غیرمنتظره از نقش‌ها توسط حساب‌های فروشندگان باشند و رابطه‌های اعتمادی را که دیگر لازم ندارند حذف کنند [2][3].
- گزارش‌های AWS CloudTrail را از ۱ اکتبر به بعد برای دسترسی مشکوک از حساب AWS شرکت Qubole بررسی کنید و سپس هر دسترسی بعدی به رمزها و S3 را بازرسی کنید [2].
- اعتبارنامه‌هایی را که ممکن است فاش شده باشند بچرخانید و نشست‌های فعال نقش‌ها را لغو کنید [2].
- یکپارچه‌سازی‌های بلااستفاده را حذف کنید و مجوزها، هویت‌های مورد اعتماد و شبکه‌های مبدأ مجاز نقشهای باقی‌مانده را محدود کنید [2].
- به‌دنبال نام‌های نشست نقش بگردید که با «quiam-» آغاز می‌شوند و Wiz دید مهاجم پیوسته از آن‌ها استفاده میکند، مانند quiam-enum [3].
توصیه خود AWS این است که نقشهای IAM میان‌حسابی به‌طور منظم بازبینی شوند، دسترسی یکپارچه‌سازی‌های بلااستفاده حذف شود، مجوزها بر پایه کمترین امتیاز اعطا شود و شرط‌هایی مانند محدودیت IP مبدأ به سیاست‌های اعتماد نقش‌ها افزوده شود [2]. Sentra مشاهده کرد مهاجم رمزها را با نرخ ۱۰۰ گذرواژه و کلید در هفت دقیقه گردآوری میکند، پس تشخیص سریع اهمیت دارد [2].
گروه اخاذی n0n کیست؟
به گفته Cyber Daily، n0n بازیگر نسبتاً جدیدی در اخاذی است که در سپتامبر ۲۰۲۶ پدید آمد و تنها در اکتبر ۲۰۴ قربانی ادعا کرد [5]. این گروه تا ۱۲ نوامبر در نوامبر بیش از ۱۰۰ قربانی دیگر هم فهرست کرده بود که بسیاری از آن‌ها در سایت درز داده‌اش فقط با شماره آمده‌اند [5].
شرکت امنیتی SOCRadar، به نقل از Cyber Daily، گفت در سپتامبر ۲۰۲۶ یک سرور آزمایشی در معرض دید را یافته که به یکی از عاملان n0n مربوط بود و ابزارها، زیرساخت اخاذی و محیط یک عامل کدنویسی هوش مصنوعی را آشکار می‌کرد که با بیش از ۷٬۰۰۰ دلار (US$) مصرف پولی مدل هوش مصنوعی پشتیبانی می‌شد [5]. What Are AI Agents? How They Work, What They Can Do and Where They Fail توضیح میدهد چنین عامل‌هایی چگونه کار میکنند. SOCRadar گفت n0n به اعتبارنامههای لورفته تکیه میکند، نه آسیب‌پذیری‌های شناخته‌شده، و هیچ بار اکسپلویتی یا ارجاعی به CVE نیافته است؛ نقاط ورود مستندشده شامل حمله پر کردن اعتبارنامه (credential stuffing) به درگاه‌های VPN، گذرواژه‌های ضعیف دسترسی از راه دور و کلیدهای AWS در معرض دید است [5].
به گزارش Cyber Daily، برخی تحلیلگران اطلاعات تهدید به ادعاهای این گروه تردید داشتند، اما بسیاری اکنون آن را تهدیدی نوظهور و جدی می‌دانند، حتی اگر عملیات باج‌افزاری سنتی نباشد [5].
بعد چه خواهد شد؟
پرسش‌های باز کلیدی این‌هاست: کدام فروشنده دچار نفوذ شد، چه داده‌ای واقعاً فاش شد و آیا Expedia مشتریان متأثر را مطلع خواهد کرد [1]. تا اینجا Expedia نگفته است دادههای مشتریان در این ماجرا دخیل بوده است [1].
سه چیز را دنبال کنید: اطلاعیه رسمی Expedia به مشتریان یا نهادهای نظارتی؛ یافته‌های بازپرسان بیرونی آن؛ و اینکه پژوهشگران امنیتی حادثه Expedia را به کارزار Qubole ربط دهند یا نه [1][3]. تا آن زمان، شمار بالای رکوردهایی که آنلاین دست‌به‌دست می‌شود باید ادعای مهاجمان تلقی شود [4][5].
| مورد | وضعیت | منبع |
|---|---|---|
| حمله از راه ارائه‌دهنده شخص ثالث پلتفرم داده | تأییدشده توسط Expedia | Skift |
| نام فروشنده | افشا نشده | Skift |
| داده فاش‌شده و شمار افراد متأثر | افشا نشده | Skift |
| ۸۳۰ میلیون ردیف وفاداری، ۵۸ میلیون پروفایل | ادعای n0n، تأییدنشده | Cybernews، Cyber Daily |
| انتشار بخشی از داده‌ها در دارکوب | گزارش Cyber Daily؛ ممکن است قدیمی باشد | Cyber Daily |
| ارتباط با کارزار Qubole | تأیید نشده | Skift، Wiz |
اشتباه‌های رایج
تکرار «۸۳۰ میلیون رکورد» به‌عنوان واقعیت.
راه درست: این‌ها ادعای n0n است؛ Expedia دامنه را تأیید نکرده است [1][4].
فرض اینکه کارزار Qubole همان نقض Expedia است.
راه درست: Expedia وجود ارتباط را تأیید نکرده است [1].
کلیک روی پیوندهای ایمیل‌های رزرو که به سفرهای واقعی اشاره میکنند.
راه درست: خودتان برنامه یا وب‌سایت را باز کنید؛ کلاهبرداران ممکن است از جزئیات رزرو استفاده کنند [4].
مقصر دانستن AWS.
راه درست: AWS میگوید سرویس‌هایش آسیب ندیده‌اند؛ از اعتبارنامههای فروشنده سوءاستفاده شده است [2].
پرسش‌های پرتکرار
آیا Expedia هک شده است؟
بله؛ Expedia در ۱۲ نوامبر ۲۰۲۶ تأیید کرد مهاجمان از راه یک ارائه‌دهنده شخص ثالث پلتفرم داده که دچار نفوذ شده بود به آن دست یافتند [1].
گروه n0n ادعا میکند چه داده‌هایی دارد؟
بیش از ۱ ترابایت شامل رکوردهای وفاداری، پروفایل، حساب و رزرو؛ همگی ادعاهای تأییدنشده [4][5].
آیا دادههای Expedia درز کرده است؟
Cyber Daily گزارش میدهد بخشی از مجموعه داده در دارکوب منتشر شده است؛ ممکن است بخشی قدیمی باشد [5].
حمله زنجیره تأمین به Expedia چگونه انجام شد؟
Expedia میگوید یک فروشنده دچار نفوذ شده است؛ پژوهشگران کارزار جداگانهای از Qubole را مستند کردهاند، اما Expedia هیچ ارتباطی را تأیید نکرده است [1][3].
مشتریان Expedia اکنون چه کنند؟
مراقب فیشینگی باشند که به رزروهای واقعی اشاره میکند، روی پیوندها کلیک نکنند و از گذرواژه یکتا و 2FA استفاده کنند [4].
شرکتهایی که از فروشندگان داده ابری استفاده میکنند چه چیزهایی را باید بررسی کنند؟
CloudTrail را بازبینی کنند، رمزها را بچرخانند و نقشهای بلااستفاده فروشندگان را حذف کنند [2].
گروه اخاذی n0n کیست؟
گروهی فعال از سپتامبر ۲۰۲۶ که به اعتبارنامههای لورفته تکیه میکند [5].
بعد چه خواهد شد؟
بررسی Expedia باید فروشنده، داده و اطلاعرسانیهای احتمالی را روشن کند [1].
واژه‌نامه
- حمله زنجیره تأمین
- حمله‌ای که از راه یک تأمین‌کننده یا فروشنده مورد اعتماد به هدف می‌رسد [1].
- نقش IAM
- هویتی در AWS با مجوزهایی که می‌توان به یک حساب دیگر اعتماد کرد تا آن را بر عهده بگیرد [3].
- دسترسی میان‌حسابی
- مجوزی که به حساب ابری یک فروشنده اجازه میدهد درون حساب مشتری عمل کند [3].
- گروه اخاذی
- مجرمانی که داده می‌دزدند و تهدید میکنند اگر پولی پرداخت نشود آن را منتشر کنند [4].
- فیشینگ
- پیام‌های جعلی که برای فریب افراد و گرفتن داده یا پول طراحی شده‌اند [4].
منابع
- Expedia Confirms Cyberattack Through Third-Party Vendor Skift · 2026-11-12
- Hackers exploit trusted AWS access to breach multiple cloud environments BleepingComputer · 2026-11-10
- Trusted by Default: Qubole Cross-Account Access Abused in the Wild Wiz · 2026-11-09
- Targeted travel scams may rise, as hackers eye Expedia's billion records Cybernews · 2026-10-09
- Exclusive: Cyber extortion group claims breach of Expedia, millions of customers allegedly exposed Cyber Daily · 2026-11-12
نظرات
نظرهای برتر