Piratage Expedia : fuite via un prestataire confirmée

Expedia a-t-il été piraté ?

Oui : le 12 novembre 2026, Expedia Group a confirmé que des attaquants avaient atteint ses systèmes par l'intermédiaire d'un fournisseur tiers de plateforme de données compromis, dans une attaque de la chaîne d'approvisionnement qui a aussi touché d'autres entreprises ^[1].

Dans une déclaration à Skift, publication spécialisée du secteur du voyage, Expedia a dit avoir « connaissance d'une attaque de la chaîne d'approvisionnement, signalée par des chercheurs en sécurité » ^[1]. Skift rapporte qu'Expedia a décrit des attaquants ayant compromis un fournisseur tiers de plateforme de données et utilisé cet accès pour atteindre plusieurs entreprises ^[1]. Selon Skift, Expedia a aussi indiqué avoir contenu le problème dès qu'elle en a eu connaissance, mener une enquête avec des experts externes en sécurité, et que ses plateformes restent sûres pour les voyageurs et les partenaires ^[1].

Ce qu'Expedia n'a pas dit compte autant ^[1] :

• Elle n'a pas nommé le prestataire compromis.
• Elle n'a pas précisé quelles informations clients, le cas échéant, ont été exposées.
• Elle n'a pas donné le nombre de personnes touchées.

La confirmation est arrivée après que plusieurs sites de cybersécurité ont relayé les affirmations d'un groupe d'extorsion appelé n0n, qui dit avoir volé des données d'Expedia ^[1]. Expedia Group exploite des marques comme Expedia, Hotels.com, Vrbo, Travelocity, Hotwire, Orbitz et Trivago ^[5].

Quelles données le groupe n0n affirme-t-il détenir ?

n0n affirme avoir volé plus d'un téraoctet de données d'Expedia, surtout des dossiers clients, mais aucun de ses chiffres n'a été confirmé par Expedia ^[5][1]. Selon Cybernews, le groupe a menacé de publier les données si Expedia ne parvenait pas à un accord ^[4] ; Skift note qu'aucune rançon précise n'apparaissait sur sa page du dark web ^[1].

Le butin revendiqué par le groupe, tel que rapporté par Cybernews et Cyber Daily, comprend ^[4][5] :

• 830.069.282 lignes de données de programmes de fidélité réparties dans 800 fichiers, avec des adresses e-mail, des identifiants de membre, des soldes de points en 21 devises et des montants de réservation pour 35 programmes nommés.
• Environ 58 millions de lignes de profils de voyageurs avec adresses e-mail, dates de compte et aéroports d'origine.
• Environ 333 millions de comptes de consommateurs associant identifiants de compte et adresses e-mail à des « jetons de type mot de passe ».
• Des fichiers d'événements de réservation avec numéros de commande, identifiants d'itinéraire et montants de réservation, ainsi que 22 à 23 millions de dossiers de voyage.
• Près de 500.000 dossiers de communications avec des clients.

Un nombre de lignes n'équivaut pas à un nombre de personnes : une même personne peut apparaître dans de nombreuses lignes et de nombreux fichiers. Le groupe a aussi affirmé avoir accédé au code source et à des systèmes cloud de production ^[4].

Des données d'Expedia ont-elles fuité ?

Cyber Daily a rapporté le 12 novembre 2026 que n0n a publié une partie du jeu de données présumé sur le dark web ^[5]. L'archive compressée contient 11 dossiers listant des centaines de milliers d'adresses e-mail liées à des données de voyage, dont des identifiants de connexion, des séjours à l'hôtel, des communications et des informations de fidélité comme des identifiants d'utilisateur de voyageur et des totaux de points ^[5].

Deux précautions s'imposent ^[5] :

• Plusieurs des adresses e-mail figuraient dans des fuites antérieures, selon Have I Been Pwned, mais beaucoup n'y figuraient pas.
• Les plages de dates de plusieurs fichiers laissent penser que les données pourraient être anciennes plutôt qu'actuelles.

Cyber Daily indique qu'Expedia a refusé de commenter les affirmations précises des pirates ^[5]. Cyber Daily cite une publication de n0n du 3 novembre comme première revendication ^[5]. Tant qu'Expedia ou un enquêteur indépendant n'aura pas publié de conclusions, l'ampleur et la fraîcheur de toute fuite restent non vérifiées.

Comment l'attaque de la chaîne d'approvisionnement d'Expedia s'est-elle déroulée ?

Expedia a seulement indiqué qu'un fournisseur tiers de plateforme de données avait été compromis et que son accès de confiance avait été détourné ^[1]. Des chercheurs en sécurité ont par ailleurs documenté une campagne impliquant Qubole, une plateforme de données cloud ; Skift rapporte que les chercheurs n'ont pas nommé publiquement Expedia parmi les clients touchés ^[1].

La société de sécurité cloud Wiz, en collaboration avec Sentra et Mandiant, a indiqué qu'entre le 14 et le 26 octobre 2026, un attaquant a utilisé des identifiants IAM d'un compte AWS associé à Qubole, une plateforme de big data, pour endosser des rôles que des clients avaient créés pour faire confiance à Qubole ^[3]. Une fois à l'intérieur, l'attaquant a répertorié des ressources, collecté des secrets dans AWS Secrets Manager, SSM Parameter Store et les paramètres Lambda, testé les clés volées avec l'outil TruffleHog et téléchargé des données depuis des buckets de stockage S3 ^[3][2].

Wiz a précisé que la plupart des rôles utilisés étaient par ailleurs inactifs : les politiques de confiance étaient toujours en place, si bien que les requêtes ont abouti ^[3]. Sentra a constaté que d'anciens clients de Qubole n'avaient jamais révoqué l'accès accordé, et a confirmé des dizaines de victimes, avec des millions de fichiers pris chez un seul client ^[1][2]. Qubole a été un prestataire d'Expedia, mais Expedia n'a pas confirmé si sa fuite est liée ^[1].

AWS a déclaré à BleepingComputer que ses services « n'ont pas été compromis par ce problème et ont fonctionné comme prévu » ; l'attaquant a utilisé des identifiants liés à un fournisseur tiers ^[2].

Que doivent faire maintenant les clients d'Expedia ?

Le risque le plus probable pour les clients est l'hameçonnage ciblé : des chercheurs en sécurité avertissent que des escrocs pourraient utiliser des détails de réservation pour envoyer des messages convaincants ^[4]. Ces mesures découlent de ce que l'on sait à ce stade :

1. Méfiez-vous des messages de réservation inattendus, surtout ceux qui mentionnent de vrais voyages, des soldes de points ou des niveaux de fidélité et vous demandent de payer, de « vérifier » une carte ou de vous connecter via un lien ^[4].
2. Ouvrez vous-même l'application Expedia ou saisissez l'adresse du site plutôt que de suivre des liens dans des e-mails, des SMS ou des messages WhatsApp. What Is Phishing? How to Recognise Fake Emails, Texts and QR Codes présente les signes d'alerte.
3. Changez votre mot de passe si vous le réutilisez ailleurs, car le groupe affirme détenir des « jetons de type mot de passe » ^[4] ; un mot de passe unique limite les dégâts.
4. Activez la vérification en deux étapes lorsque vos comptes de voyage la proposent ; Two-Factor Authentication Explained: Which 2FA Method Is Safest? explique quelles méthodes sont les plus solides.
5. Vérifiez si votre adresse e-mail apparaît dans des fuites connues ; Cyber Daily a utilisé Have I Been Pwned pour comparer les adresses divulguées ^[5]. Was My Data Leaked? How to Check and What to Do After a Data Breach explique la marche à suivre ensuite.

L'hameçonnage lié au voyage après une fuite n'est pas hypothétique. Après que Booking.com a divulgué en avril 2026 une fuite de données de réservation de clients, des clients ont signalé des e-mails d'hameçonnage, des appels et des messages WhatsApp faisant référence à leurs réservations ^[4].

Que doivent vérifier les entreprises qui utilisent des prestataires de données cloud ?

Les administrateurs doivent rechercher toute utilisation inattendue de rôles par des comptes de prestataires et supprimer les relations de confiance dont ils n'ont plus besoin ^[2][3].

• Examinez les journaux AWS CloudTrail à partir du 1er octobre pour repérer des accès suspects depuis le compte AWS de Qubole, puis enquêtez sur tout accès ultérieur à des secrets et à S3 ^[2].
• Renouvelez les identifiants susceptibles d'avoir été exposés et révoquez les sessions de rôle actives ^[2].
• Supprimez les intégrations inutilisées et restreignez les autorisations des rôles restants, les identités de confiance et les réseaux sources autorisés ^[2].
• Recherchez des noms de session de rôle commençant par « quiam- », que Wiz a vus utilisés systématiquement par l'attaquant, comme quiam-enum ^[3].

Le conseil d'AWS est d'examiner régulièrement les rôles IAM inter-comptes, de supprimer l'accès des intégrations qui ne sont plus utilisées, d'accorder les privilèges minimaux et d'ajouter aux politiques de confiance des rôles des conditions comme des restrictions d'IP source ^[2]. Sentra a observé l'attaquant collecter des secrets au rythme de 100 mots de passe et clés en sept minutes ; une détection rapide est donc essentielle ^[2].

Qui est le groupe d'extorsion n0n ?

n0n est un acteur d'extorsion relativement récent, apparu en septembre 2026, qui a revendiqué 204 victimes rien qu'en octobre, selon Cyber Daily ^[5]. Il avait répertorié plus de 100 autres victimes depuis le début de novembre (au 12 novembre), beaucoup seulement par un numéro sur son site de fuites ^[5].

La société de sécurité SOCRadar, citée par Cyber Daily, indique avoir trouvé en septembre 2026 un serveur de préproduction exposé lié à un opérateur de n0n, révélant des outils, une infrastructure d'extorsion et un environnement d'agent de programmation par IA financé par plus de 7.000 dollars américains d'utilisation payante de modèles d'IA ^[5]. What Are AI Agents? How They Work, What They Can Do and Where They Fail explique le fonctionnement de ces agents. SOCRadar indique que n0n s'appuie sur des identifiants compromis plutôt que sur des vulnérabilités connues, et qu'elle n'a trouvé ni charge d'exploitation ni référence CVE ; les points d'entrée documentés comprennent le bourrage d'identifiants contre des portails VPN, des mots de passe d'accès à distance faibles et des clés AWS exposées ^[5].

Certains analystes du renseignement sur les menaces avaient douté des affirmations du groupe, rapporte Cyber Daily, mais beaucoup y voient désormais une menace émergente sérieuse, même s'il ne s'agit pas d'une opération de rançongiciel classique ^[5].

Que va-t-il se passer ensuite ?

Les principales questions ouvertes sont : quel prestataire a été compromis, quelles données ont réellement été exposées et si Expedia informera les clients touchés ^[1]. Jusqu'ici, Expedia n'a pas dit que des données clients étaient concernées ^[1].

Trois éléments sont à surveiller : un avis officiel d'Expedia aux clients ou aux régulateurs ; les conclusions de ses enquêteurs externes ; et la question de savoir si des chercheurs en sécurité relient l'incident d'Expedia à la campagne Qubole ^[1][3]. D'ici là, les nombres de dossiers considérables qui circulent en ligne doivent être considérés comme des affirmations des attaquants ^[4][5].