Expedia情報漏えい：サプライチェーン攻撃を確認

Expediaはハッキングされたのか

はい。2026年11月12日、Expedia Groupは、第三者のデータ基盤プロバイダーが侵害され、そこから攻撃者が自社システムに到達したことを確認しました。他の企業にも被害が及んだサプライチェーン攻撃です^[1]。

旅行業界専門メディアのSkiftへの声明で、Expediaは「セキュリティ研究者が報告したサプライチェーン攻撃を認識している」と述べました^[1]。Skiftによると、Expediaは攻撃者が第三者のデータ基盤プロバイダーを侵害し、そのアクセスを使って複数の企業に到達したと説明しています^[1]。またSkiftによると、Expediaは問題を認識してすぐに封じ込め、外部のセキュリティ専門家とともに調査しており、プラットフォームは旅行者とパートナーにとって引き続き安全だと述べています^[1]。

Expediaが述べなかったことも同じくらい重要です^[1]。

• 侵害された委託先の名前は明かしていません。
• 顧客情報が流出したのか、流出したならどの情報なのかは明かしていません。
• 影響を受けた人数も明かしていません。

この確認は、n0nという恐喝グループがExpediaのデータを盗んだと主張していると複数のサイバーセキュリティ系サイトが報じた後に出されました^[1]。Expedia Groupは、Expedia、Hotels.com、Vrbo、Travelocity、Hotwire、Orbitz、Trivagoなどのブランドを運営しています^[5]。

n0nはどのようなデータを持っていると主張しているのか

n0nは、主に顧客記録からなる1TB超のExpediaのデータを盗んだと主張していますが、その数字はいずれもExpediaによって確認されていません^[5][1]。Cybernewsによると、同グループはExpediaが和解に応じなければデータを公開すると脅しました^[4]。Skiftは、ダークウェブ上のページに具体的な身代金額は示されていなかったと伝えています^[1]。

CybernewsとCyber Dailyが伝えた、同グループが主張する獲得データは次のとおりです^[4][5]。

• 800ファイルにまたがるロイヤルティプログラムのデータ830,069,282行。メールアドレス、会員ID、21通貨のポイント残高、名前の挙がった35プログラムの予約金額が含まれます。
• メールアドレス、アカウント作成日、居住地の空港を含む旅行者プロフィール約5800万行。
• アカウントIDとメールアドレスを「パスワードのようなトークン」と組み合わせた消費者アカウント記録約3.33億件。
• 注文番号、旅程ID、予約金額を含む予約イベントファイルと、22-23百万件の旅行記録。
• 500,000件近い宿泊客とのやり取りの記録。

行数は人数と同じではありません。1人が多数の行やファイルに登場することがあります。同グループはソースコードや本番のクラウドシステムにもアクセスしたと主張しています^[4]。

Expediaのデータはすでに流出したのか

Cyber Dailyは2026年11月12日、n0nが主張するデータセットの一部をダークウェブで公開したと報じました^[5]。圧縮アーカイブには11個のフォルダがあり、旅行データに結び付いた数十万件のメールアドレスが記載されています。ログイン情報、ホテルの宿泊、やり取りの内容、旅行者のユーザーIDやポイント合計などのロイヤルティ情報が含まれます^[5]。

ただし2つの注意点があります^[5]。

• Have I Been Pwnedによると、メールアドレスの一部は過去の漏えいにも出ていましたが、多くは出ていませんでした。
• 複数のファイルの日付の範囲から、データは最新のものではなく過去のものである可能性があります。

Cyber Dailyによると、Expediaはハッカーの個別の主張についてコメントを拒否しました^[5]。Cyber Dailyは、11月3日のn0nの流出投稿を最初の主張としています^[5]。Expediaか独立した調査機関が調査結果を公表するまで、流出の規模や新しさは確認されていません。

Expediaへのサプライチェーン攻撃はどのように行われたのか

Expediaが述べているのは、第三者のデータ基盤プロバイダーが侵害され、その信頼されたアクセスが悪用されたということだけです^[1]。セキュリティ研究者らは別に、クラウドのデータ基盤であるQubole絡みの攻撃キャンペーンを記録しています。Skiftによると、研究者はExpediaを被害顧客として公には挙げていません^[1]。

クラウドセキュリティ企業のWizは、SentraおよびMandiantと協力し、2026年10月14日から26日の間に、攻撃者がビッグデータ基盤Quboleに関連するAWSアカウントのIAM認証情報を使い、顧客がQuboleを信頼するために作成したロールを引き受けたと報告しました^[3]。侵入後、攻撃者はリソースを列挙し、AWS Secrets Manager、SSM Parameter Store、Lambdaの設定から機密情報を収集し、TruffleHogツールで盗んだキーを試し、S3ストレージバケットからデータをダウンロードしました^[3][2]。

Wizによると、使われたロールの多くはそれ以外では使われておらず、信頼ポリシーが残っていたためリクエストが成功しました^[3]。Sentraは、Quboleのかつての顧客が付与したアクセスを一度も取り消していなかったことを突き止め、数十の被害者を確認しました。1つの顧客だけで数百万のファイルが持ち出されています^[1][2]。QuboleはかつてExpediaの委託先でしたが、Expediaは今回の侵害との関連を確認していません^[1]。

AWSはBleepingComputerに対し、自社のサービスは「この問題によって侵害されておらず、設計どおりに動作した」と述べました。攻撃者は第三者プロバイダーに結び付いた認証情報を使用しています^[2]。

Expediaの利用者は今何をすべきか

利用者にとって最も可能性の高いリスクは標的型フィッシングです。セキュリティ研究者は、詐欺師が予約情報を使って巧妙なメッセージを送る恐れがあると警告しています^[4]。現時点で分かっていることから、次の対策が考えられます。

1. 心当たりのない予約関連のメッセージを疑いましょう。特に、実際の旅行、ポイント残高、会員ランクに触れつつ、支払い、カードの「確認」、リンク経由のログインを求めるものには注意が必要です^[4]。
2. Expediaのアプリを開くか、ウェブサイトのアドレスを自分で入力しましょう。メール、SMS、WhatsAppのリンクをたどらないでください。警告のサインはWhat Is Phishing? How to Recognise Fake Emails, Texts and QR Codesで解説しています。
3. パスワードを使い回している場合は変更しましょう。同グループは「パスワードのようなトークン」を保有していると主張しているためです^[4]。固有のパスワードにすれば被害を抑えられます。
4. 旅行関連のアカウントで可能なら2段階認証を有効にしましょう。どの方式が最も強力かはTwo-Factor Authentication Explained: Which 2FA Method Is Safest?で解説しています。
5. 自分のメールアドレスが既知の漏えいに含まれていないか確認しましょう。Cyber Dailyは流出したメールアドレスをHave I Been Pwnedと照合しました^[5]。次に何をすべきかはWas My Data Leaked? How to Check and What to Do After a Data Breachで解説しています。

漏えい後の旅行関連フィッシングは、仮定の話ではありません。2026年4月にBooking.comが顧客の予約データの漏えいを公表した後、顧客からは予約に言及したフィッシングメール、電話、WhatsAppメッセージが届いたとの報告がありました^[4]。

クラウドのデータ委託先を使う企業は何を確認すべきか

管理者は、委託先のアカウントによる不審なロールの使用を調べ、不要になった信頼関係を削除する必要があります^[2][3]。

• 10月1日以降のAWS CloudTrailログで、QuboleのAWSアカウントからの不審なアクセスを確認し、その後のシークレットやS3へのアクセスを調べます^[2]。
• 流出した可能性のある認証情報をローテーションし、有効なロールセッションを取り消します^[2]。
• 使っていない連携を削除し、残るロールの権限、信頼するID、許可する接続元ネットワークを制限します^[2]。
• Wizが攻撃者による一貫した使用を確認した、quiam-enumのように「quiam-」で始まるロールセッション名を探します^[3]。

AWS自身の助言は、クロスアカウントのIAMロールを定期的に見直し、使われなくなった連携のアクセスを削除し、最小権限の権限を付与し、ロールの信頼ポリシーに接続元IP制限などの条件を加えることです^[2]。Sentraは、攻撃者が7分間で100件のパスワードとキーを収集する速さで機密情報を集めていたことを確認しており、迅速な検知が重要です^[2]。

恐喝グループn0nとは何者か

Cyber Dailyによると、n0nは2026年9月に登場した比較的新しい恐喝グループで、10月だけで204の被害者を主張しました^[5]。11月はこれまで(11月12日時点)にさらに100超の被害者を掲載しており、その多くは流出サイトに番号だけで載っています^[5]。

Cyber Dailyが引用したセキュリティ企業SOCRadarは、2026年9月にn0nの運営者に結び付いた露出したステージングサーバーを発見したと述べています。そこにはツール、恐喝のインフラ、そして7,000米ドル超の有料AIモデル利用に支えられたAIコーディングエージェントの環境が見つかりました^[5]。そうしたエージェントの仕組みはWhat Are AI Agents? How They Work, What They Can Do and Where They Failで解説しています。SOCRadarは、n0nは既知の脆弱性ではなく侵害された認証情報に頼っており、エクスプロイトのペイロードもCVEへの言及も見つからなかったと述べています。記録されている侵入口には、VPNポータルへのクレデンシャルスタッフィング、脆弱なリモートアクセスのパスワード、露出したAWSキーがあります^[5]。

Cyber Dailyによると、一部の脅威インテリジェンスのアナリストは同グループの主張を疑っていましたが、従来型のランサムウェア組織ではないにせよ、現在は多くが深刻な新たな脅威と見ています^[5]。

今後どうなるのか

主な未解決の問いは、どの委託先が侵害されたのか、実際にどのデータが流出したのか、そしてExpediaが影響を受けた顧客に通知するのかどうかです^[1]。これまでのところ、Expediaは顧客データが関わっているとは述べていません^[1]。

注目すべき点は3つあります。Expediaから顧客や規制当局への正式な通知、外部の調査担当者による調査結果、そしてセキュリティ研究者がExpediaの事案をQuboleのキャンペーンと結び付けるかどうかです^[1][3]。それまでは、ネット上で出回っている膨大な件数は攻撃者の主張として扱うべきです^[4][5]。