בקצרה
נכון ל-13 בנובמבר 2026, Expedia אישרה פריצת נתונים שבה תוקפים הגיעו למערכותיה דרך ספק פלטפורמת נתונים חיצוני שנפרץ, אך לא אמרה אילו נתונים נחשפו [1]. קבוצת הסחיטה n0n טוענת שברשותה מאות מיליוני רשומות לקוחות; הטענה לא אומתה [4][5].
עיקרי הדברים
- Expedia Group אישרה את מתקפת שרשרת האספקה בהודעה ל-Skift ב-12 בנובמבר 2026 [1].
- Expedia לא פרסמה את שם הספק, את הנתונים שנחשפו ואת מספר הנפגעים [1].
- קבוצת הסחיטה n0n טוענת ליותר מ-830 מיליון שורות של תוכנית נאמנות ול-58 מיליון שורות של פרופילי נוסעים; המספרים הללו הם טענות התוקפים עצמם [4][5].
- מתקפה נפרדת באוקטובר 2026 ניצלה גישת ענן הקשורה ל-Qubole, ספק לשעבר של Expedia; Expedia לא אישרה קשר כלשהו [1][3].
- הסיכון העיקרי לנוסעים כעת הוא פישינג משכנע שמשתמש בפרטי הזמנות אמיתיים [4].
- Expedia אומרת שהפלטפורמות שלה נשארות בטוחות לנוסעים ולשותפים [1].
בעמוד הזה 12 חלקים
האם Expedia נפרצה?
כן: ב-12 בנובמבר 2026 Expedia Group אישרה שתוקפים הגיעו למערכותיה דרך ספק פלטפורמת נתונים חיצוני שנפרץ, במתקפת שרשרת אספקה שפגעה גם בחברות אחרות [1].
בהודעה לפרסום תעשיית התיירות Skift אמרה Expedia שהיא “מודעת למתקפת שרשרת אספקה, שדווחה על ידי חוקרי אבטחה” [1]. Skift מדווח ש-Expedia תיארה תוקפים שפרצו לספק פלטפורמת נתונים חיצוני והשתמשו בגישה זו כדי להגיע לכמה חברות [1]. לפי Skift, Expedia אמרה גם שהכילה את הבעיה ברגע שנודע לה עליה, חוקרת אותה עם מומחי אבטחה חיצוניים, ושהפלטפורמות שלה נשארות בטוחות לנוסעים ולשותפים [1].
מה ש-Expedia לא אמרה חשוב לא פחות [1]:
- היא לא פרסמה את שם הספק שנפרץ.
- היא לא אמרה אילו פרטי לקוחות נחשפו, אם בכלל.
- היא לא מסרה את מספר האנשים שנפגעו.
האישור הגיע לאחר שכמה אתרי סייבר דיווחו על טענות של קבוצת סחיטה בשם n0n כי גנבה נתונים של Expedia [1]. Expedia Group מפעילה מותגים ובהם Expedia, Hotels.com, Vrbo, Travelocity, Hotwire, Orbitz ו-Trivago [5].
אילו נתונים קבוצת n0n טוענת שיש בידיה?
n0n טוענת שגנבה יותר מטרה-בייט אחד של נתוני Expedia, בעיקר רשומות לקוחות, אך אף אחד מהמספרים שלה לא אושר על ידי Expedia [5][1]. לפי Cybernews, הקבוצה איימה לפרסם את הנתונים אם Expedia לא תגיע להסדר [4]; Skift מציין שבדף ה-dark web שלה לא הופיע כופר ספציפי [1].
השלל שהקבוצה טוענת לו, כפי שדווח ב-Cybernews וב-Cyber Daily, כולל [4][5]:
- 830,069,282 שורות נתוני תוכניות נאמנות ב-800 קבצים, עם כתובות דוא״ל, מזהי חברים, יתרות נקודות ב-21 מטבעות וערכי הזמנות עבור 35 תוכניות בשם.
- כ-58 מיליון שורות פרופילי נוסעים עם כתובות דוא״ל, תאריכי חשבון ושדות תעופה ביתיים.
- כ-333 מיליון רשומות חשבונות צרכנים המצמדות מזהי חשבון וכתובות דוא״ל ל“אסימונים הדומים לסיסמאות”.
- קבצי אירועי הזמנה עם מספרי הזמנה, מזהי מסלולי נסיעה וערכי הזמנות, בתוספת 22-23 מיליון רשומות נסיעה.
- כמעט 500,000 רשומות תקשורת עם אורחים.
מספר שורות אינו זהה למספר אנשים: אדם אחד יכול להופיע בשורות ובקבצים רבים. הקבוצה טענה גם שיש לה גישה לקוד מקור ולמערכות ענן ייצוריות [4].
האם נתונים של Expedia דלפו?
Cyber Daily דיווח ב-12 בנובמבר 2026 ש-n0n פרסמה חלק ממערך הנתונים לכאורה ברשת ה-dark web [5]. הארכיון הדחוס כולל 11 תיקיות עם מאות אלפי כתובות דוא״ל הקשורות לנתוני נסיעות, ובהן פרטי התחברות, שהיות במלונות, תקשורת ופרטי נאמנות כמו מזהי משתמש של נוסעים וסכומי נקודות [5].
יש שתי הסתייגויות [5]:
- כמה מכתובות הדוא״ל הופיעו בפריצות קודמות, לפי Have I Been Pwned, אך רבות לא הופיעו.
- טווחי תאריכים בכמה קבצים מצביעים על כך שהנתונים עשויים להיות היסטוריים ולא עדכניים.
Cyber Daily אמר ש-Expedia סירבה להגיב על הטענות הספציפיות של ההאקרים [5]. Cyber Daily מציין פוסט דליפה של n0n מה-3 בנובמבר כטענה הראשונה [5]. עד ש-Expedia או חוקר עצמאי יפרסמו ממצאים, גודלה ועדכניותה של כל דליפה נותרים בלתי מאומתים.
איך פעלה מתקפת שרשרת האספקה על Expedia?
Expedia אמרה רק שספק פלטפורמת נתונים חיצוני נפרץ ושהגישה המהימנה שלו נוצלה לרעה [1]. חוקרי אבטחה תיעדו בנפרד קמפיין שקשור ל-Qubole, פלטפורמת נתוני ענן; Skift מדווח שהחוקרים לא ציינו בפומבי את Expedia כלקוחה שנפגעה [1].
חברת אבטחת הענן Wiz, בשיתוף Sentra ו-Mandiant, דיווחה שבין 14 ל-26 באוקטובר 2026 תוקף השתמש בפרטי IAM מחשבון AWS הקשור ל-Qubole, פלטפורמת ביג דאטה, כדי לאמץ תפקידים שלקוחות יצרו כדי לתת אמון ב-Qubole [3]. מרגע שנכנס, התוקף מנה משאבים, אסף סודות מ-AWS Secrets Manager, מ-SSM Parameter Store ומהגדרות Lambda, בדק מפתחות גנובים בכלי TruffleHog והוריד נתונים מדליי אחסון S3 [3][2].
Wiz אמרה שרוב התפקידים ששימשו היו בטלים אחרת: מדיניות האמון עדיין הייתה בתוקף, ולכן הבקשות הצליחו [3]. Sentra מצאה שלקוחות לשעבר של Qubole מעולם לא ביטלו את הגישה שנתנו, ואישרה עשרות קורבנות, כשמיליוני קבצים נגנבו מלקוח אחד בלבד [1][2]. Qubole הייתה בעבר ספקית של Expedia, אך Expedia לא אישרה אם הפריצה שלה קשורה [1].
AWS אמרה ל-BleepingComputer שהשירותים שלה “לא נפרצו בגלל בעיה זו ופעלו כמתוכנן”; התוקף השתמש בפרטי גישה הקשורים לספק חיצוני [2].
מה על לקוחות Expedia לעשות עכשיו?
הסיכון הסביר ביותר ללקוחות הוא פישינג ממוקד: חוקרי אבטחה מזהירים שרמאים עשויים להשתמש בפרטי הזמנות כדי לשלוח הודעות משכנעות [4]. הצעדים הבאים נובעים ממה שידוע עד כה:
- היו חשדניים כלפי הודעות הזמנה שלא ציפיתם להן, במיוחד כאלה שמזכירות נסיעות אמיתיות, יתרות נקודות או דרגות נאמנות ומבקשות לשלם, “לאמת” כרטיס או להתחבר דרך קישור [4].
- פתחו את אפליקציית Expedia או הקלידו בעצמכם את כתובת האתר במקום ללחוץ על קישורים בדוא״ל, בהודעות טקסט או ב-WhatsApp. מהו פישינג? איך מזהים הודעות דוא״ל, הודעות טקסט וקודי QR מזויפים מסביר את סימני האזהרה.
- החליפו סיסמה אם אתם משתמשים בה גם במקומות אחרים, כי הקבוצה טוענת שיש בידיה “אסימונים הדומים לסיסמאות” [4]; סיסמה ייחודית מגבילה את הנזק.
- הפעילו אימות דו-שלבי היכן שחשבונות הנסיעות שלכם מציעים זאת; אימות דו-גורמי מוסבר: איזו שיטת 2FA בטוחה ביותר? מסביר אילו שיטות החזקות ביותר.
- בדקו אם כתובת הדוא״ל שלכם מופיעה בפריצות ידועות; Cyber Daily השתמש ב-Have I Been Pwned כדי להשוות את כתובות הדוא״ל שדלפו [5]. האם הנתונים שלי דלפו? איך בודקים ומה עושים אחרי פריצת נתונים מסביר מה לעשות אחר כך.
פישינג בתחום הנסיעות אחרי פריצות אינו היפותטי. אחרי ש-Booking.com חשפה באפריל 2026 פריצה לנתוני הזמנות של לקוחות, לקוחות דיווחו על הודעות דוא״ל פישינג, שיחות והודעות WhatsApp שהתייחסו להזמנות שלהם [4].
מה על חברות שמשתמשות בספקי נתוני ענן לבדוק?
על מנהלי מערכות לחפש שימוש בלתי צפוי בתפקידים על ידי חשבונות ספקים ולהסיר יחסי אמון שאינם נחוצים להם עוד [2][3].
- עברו על יומני AWS CloudTrail מה-1 באוקטובר ואילך כדי לאתר גישה חשודה מחשבון ה-AWS של Qubole, ואז חקרו כל גישה מאוחרת יותר לסודות ול-S3 [2].
- החליפו פרטי גישה שעלולים היו להיחשף ובטלו הפעלות תפקיד פעילות [2].
- הסירו אינטגרציות שאינן בשימוש והגבילו את ההרשאות של התפקידים שנותרו, את הזהויות המהימנות ואת רשתות המקור המותרות [2].
- חפשו שמות הפעלת תפקיד שמתחילים ב-“quiam-”, ש-Wiz ראתה את התוקף משתמש בהם בעקביות, כמו quiam-enum [3].
עצת AWS עצמה היא לסקור באופן קבוע תפקידי IAM בין חשבונות, להסיר גישה לאינטגרציות שאינן בשימוש, להעניק הרשאות מינימליות ולהוסיף למדיניות האמון של התפקיד תנאים כמו הגבלות על כתובת IP מקור [2]. Sentra ראתה את התוקף אוסף סודות בקצב של 100 סיסמאות ומפתחות בשבע דקות, ולכן זיהוי מהיר חשוב [2].
מי היא קבוצת הסחיטה n0n?
n0n היא גורם סחיטה חדש יחסית שצץ בספטמבר 2026 וטען ל-204 קורבנות באוקטובר בלבד, לפי Cyber Daily [5]. עד כה בנובמבר (נכון ל-12 בנובמבר) היא פירסמה יותר מ-100 קורבנות נוספים, רבים מהם רק במספר באתר הדליפות שלה [5].
חברת האבטחה SOCRadar, המצוטטת ב-Cyber Daily, אמרה שמצאה שרת הכנה חשוף הקשור למפעיל של n0n בספטמבר 2026, שחשף כלים, תשתית סחיטה וסביבת סוכן קוד מבוסס בינה מלאכותית הנתמכת בשימוש בתשלום במודלי בינה מלאכותית בסך של יותר מ-7,000 דולר אמריקאי [5]. מהם סוכני בינה מלאכותית? איך הם עובדים, מה הם יכולים לעשות ואיפה הם נכשלים מסביר איך סוכנים כאלה פועלים. SOCRadar אמרה ש-n0n נשענת על פרטי גישה שנפרצו ולא על פרצות ידועות, ושלא מצאה מטענים של ניצול או הפניות ל-CVE; נקודות כניסה מתועדות כוללות credential stuffing נגד פורטלי VPN, סיסמאות גישה מרחוק חלשות ומפתחות AWS חשופים [5].
כמה אנליסטים של מודיעין איומים פקפקו בטענות הקבוצה, מדווח Cyber Daily, אך רבים רואים בה כעת איום מתפתח רציני גם אם אינה מפעילת כופרה מסורתית [5].
מה יקרה בהמשך?
השאלות הפתוחות העיקריות הן איזה ספק נפרץ, אילו נתונים נחשפו בפועל והאם Expedia תודיע ללקוחות שנפגעו [1]. עד כה Expedia לא אמרה שנתוני לקוחות היו מעורבים [1].
שווה לעקוב אחר שלושה דברים: הודעה רשמית של Expedia ללקוחות או לרגולטורים; ממצאי החוקרים החיצוניים שלה; והאם חוקרי אבטחה יקשרו את האירוע ב-Expedia לקמפיין Qubole [1][3]. עד אז יש להתייחס למספרי הרשומות הגדולים שמסתובבים ברשת כטענות של התוקפים [4][5].
| פריט | מצב | מקור |
|---|---|---|
| מתקפה דרך ספק פלטפורמת נתונים חיצוני | אושר על ידי Expedia | Skift |
| שם הספק | לא פורסם | Skift |
| הנתונים שנחשפו ומספר הנפגעים | לא פורסם | Skift |
| 830 מיליון שורות נאמנות, 58 מיליון פרופילים | נטען על ידי n0n, לא מאומת | Cybernews, Cyber Daily |
| נתונים חלקיים פורסמו ב-dark web | דווח על ידי Cyber Daily; ייתכן שהם היסטוריים | Cyber Daily |
| קשר לקמפיין Qubole | לא אושר | Skift, Wiz |
טעויות נפוצות
לחזור על “830 מיליון רשומות” כעובדה.
הדרך הנכונה: אלה טענות של n0n; Expedia לא אישרה את ההיקף [1][4].
להניח שקמפיין Qubole הוא הפריצה ל-Expedia.
הדרך הנכונה: Expedia לא אישרה קשר [1].
ללחוץ על קישורים בהודעות הזמנה שמזכירות נסיעות אמיתיות.
הדרך הנכונה: פתחו את האפליקציה או האתר בעצמכם; רמאים עשויים להשתמש בפרטי הזמנות [4].
להאשים את AWS.
הדרך הנכונה: AWS אומרת שהשירותים שלה לא נפרצו; נוצלו לרעה פרטי גישה של ספק [2].
שאלות נפוצות
האם Expedia נפרצה?
כן; Expedia אישרה ב-12 בנובמבר 2026 שתוקפים הגיעו אליה דרך ספק פלטפורמת נתונים חיצוני שנפרץ [1].
אילו נתונים קבוצת n0n טוענת שיש בידיה?
יותר מ-1 TB, כולל רשומות נאמנות, פרופילים, חשבונות והזמנות; הכול טענות לא מאומתות [4][5].
האם נתונים של Expedia דלפו?
Cyber Daily מדווח שמערך נתונים חלקי פורסם ב-dark web; חלקו עשוי להיות היסטורי [5].
איך פעלה מתקפת שרשרת האספקה על Expedia?
Expedia אומרת שספק נפרץ; חוקרים תיעדו קמפיין Qubole נפרד, אך Expedia לא אישרה קשר כלשהו [1][3].
מה על לקוחות Expedia לעשות עכשיו?
להיזהר מפישינג שמזכיר הזמנות אמיתיות, להימנע מקישורים, ולהשתמש בסיסמאות ייחודיות וב-2FA [4].
מה על חברות שמשתמשות בספקי נתוני ענן לבדוק?
לסקור את CloudTrail, להחליף סודות ולהסיר תפקידי ספק שאינם בשימוש [2].
מי היא קבוצת הסחיטה n0n?
קבוצה פעילה מאז ספטמבר 2026 שנשענת על פרטי גישה שנפרצו [5].
מה יקרה בהמשך?
חקירת Expedia אמורה לחשוף את הספק, את הנתונים ואת ההודעות הנלוות [1].
מילון מונחים
- מתקפת שרשרת אספקה
- מתקפה שמגיעה ליעד דרך ספק מהימן [1].
- תפקיד IAM
- זהות AWS עם הרשאות שחשבון אחר יכול לקבל אמון לאמץ [3].
- גישה בין חשבונות
- הרשאה לחשבון ענן של ספק לפעול בתוך חשבון של לקוח [3].
- קבוצת סחיטה
- פושעים שגונבים נתונים ומאיימים לפרסם אותם אם לא ישולם להם [4].
- פישינג
- הודעות מזויפות שנועדו להערים על אנשים כדי שימסרו נתונים או כסף [4].
מקורות
- Expedia Confirms Cyberattack Through Third-Party Vendor Skift · 2026-11-12
- Hackers exploit trusted AWS access to breach multiple cloud environments BleepingComputer · 2026-11-10
- Trusted by Default: Qubole Cross-Account Access Abused in the Wild Wiz · 2026-11-09
- Targeted travel scams may rise, as hackers eye Expedia's billion records Cybernews · 2026-10-09
- Exclusive: Cyber extortion group claims breach of Expedia, millions of customers allegedly exposed Cyber Daily · 2026-11-12
תגובות
הערות מובילות