Vazamento de dados da Expedia: ataque confirmado

A Expedia foi hackeada?

Sim: em 12 de novembro de 2026, o Expedia Group confirmou que invasores chegaram aos seus sistemas por meio de um provedor terceirizado de plataforma de dados comprometido, em um ataque à cadeia de suprimentos que atingiu também outras empresas ^[1].

Em declaração ao Skift, veículo especializado no setor de viagens, a Expedia disse que estava “ciente de um ataque à cadeia de suprimentos, divulgado por pesquisadores de segurança” ^[1]. O Skift relata que a Expedia descreveu invasores que comprometeram um provedor terceirizado de plataforma de dados e usaram esse acesso para chegar a várias empresas ^[1]. O Skift relata ainda que a Expedia disse ter contido o problema assim que tomou conhecimento, que investiga o caso com especialistas externos em segurança e que suas plataformas continuam seguras para viajantes e parceiros ^[1].

O que a Expedia não disse importa tanto quanto isso ^[1]:

• Ela não revelou o nome do fornecedor comprometido.
• Ela não disse quais informações de clientes, se houve alguma, foram expostas.
• Ela não informou o número de pessoas afetadas.

A confirmação veio depois que vários sites de cibersegurança divulgaram que um grupo de extorsão chamado n0n alegava ter roubado dados da Expedia ^[1]. O Expedia Group opera marcas como Expedia, Hotels.com, Vrbo, Travelocity, Hotwire, Orbitz e Trivago ^[5].

Que dados o grupo n0n diz ter?

O n0n alega ter roubado mais de um terabyte de dados da Expedia, em sua maioria registros de clientes, mas nenhum de seus números foi confirmado pela Expedia ^[5][1]. Segundo o Cybernews, o grupo ameaçou publicar os dados caso a Expedia não chegasse a um acordo ^[4]; o Skift observa que nenhum resgate específico apareceu na página do grupo na dark web ^[1].

O suposto butim do grupo, conforme relatado pelo Cybernews e pelo Cyber Daily, inclui ^[4][5]:

• 830.069.282 linhas de dados de programas de fidelidade em 800 arquivos, com endereços de e-mail, IDs de membros, saldos de pontos em 21 moedas e valores de reservas de 35 programas identificados.
• Cerca de 58 milhões de linhas de perfis de viajantes com endereços de e-mail, datas de criação de contas e aeroportos de origem.
• Cerca de 333 milhões de registros de contas de consumidores que associam IDs de conta e endereços de e-mail a “tokens semelhantes a senhas”.
• Arquivos de eventos de reserva com números de pedido, IDs de itinerário e valores de reservas, além de 22-23 milhões de registros de viagens.
• Quase 500.000 registros de comunicações com hóspedes.

O número de linhas não equivale ao número de pessoas: uma mesma pessoa pode aparecer em muitas linhas e arquivos. O grupo também alegou ter acesso ao código-fonte e a sistemas de nuvem de produção ^[4].

Algum dado da Expedia foi vazado?

O Cyber Daily informou em 12 de novembro de 2026 que o n0n publicou parte do suposto conjunto de dados na dark web ^[5]. O arquivo compactado contém 11 pastas com centenas de milhares de endereços de e-mail ligados a dados de viagens, incluindo dados de login, estadias em hotéis, comunicações e informações de fidelidade, como IDs de usuário de viajantes e totais de pontos ^[5].

Duas ressalvas se aplicam ^[5]:

• Vários dos endereços de e-mail já tinham aparecido em vazamentos anteriores, segundo o Have I Been Pwned, embora muitos não.
• Os intervalos de datas em vários arquivos sugerem que os dados podem ser históricos, e não atuais.

O Cyber Daily disse que a Expedia se recusou a comentar as alegações específicas dos hackers ^[5]. O Cyber Daily cita uma publicação de vazamento do n0n de 3 de novembro como a primeira alegação ^[5]. Até que a Expedia ou um investigador independente publique conclusões, o tamanho e a atualidade de qualquer vazamento continuam sem verificação.

Como funcionou o ataque à cadeia de suprimentos da Expedia?

A Expedia disse apenas que um provedor terceirizado de plataforma de dados foi comprometido e que seu acesso de confiança foi usado de forma abusiva ^[1]. Pesquisadores de segurança documentaram separadamente uma campanha envolvendo a Qubole, uma plataforma de dados na nuvem; o Skift relata que os pesquisadores não citaram publicamente a Expedia como cliente afetado ^[1].

A empresa de segurança em nuvem Wiz, em conjunto com a Sentra e a Mandiant, relatou que, entre 14 e 26 de outubro de 2026, um atacante usou credenciais IAM de uma conta AWS associada à Qubole, plataforma de big data, para assumir funções (roles) que os clientes tinham criado para confiar na Qubole ^[3]. Uma vez dentro, o atacante listou recursos, coletou segredos do AWS Secrets Manager, do SSM Parameter Store e das configurações do Lambda, testou chaves roubadas com a ferramenta TruffleHog e baixou dados de buckets de armazenamento S3 ^[3][2].

A Wiz disse que a maioria das funções usadas estava ociosa: as políticas de confiança continuavam em vigor, então as solicitações tiveram êxito ^[3]. A Sentra constatou que ex-clientes da Qubole nunca revogaram o acesso concedido e confirmou dezenas de vítimas, com milhões de arquivos levados de um único cliente ^[1][2]. A Qubole já foi fornecedora da Expedia, mas a Expedia não confirmou se o seu vazamento tem relação com isso ^[1].

A AWS disse ao BleepingComputer que seus serviços “não foram comprometidos por esse problema e funcionaram conforme projetado”; o atacante usou credenciais ligadas a um provedor terceirizado ^[2].

O que os clientes da Expedia devem fazer agora?

O risco mais provável para os clientes é o phishing direcionado: pesquisadores de segurança alertam que golpistas poderiam usar dados de reservas para enviar mensagens convincentes ^[4]. Estes passos decorrem do que se sabe até agora:

1. Desconfie de mensagens sobre reservas que você não esperava, principalmente as que citam viagens reais, saldos de pontos ou níveis de fidelidade e pedem que você pague, “verifique” um cartão ou faça login por um link ^[4].
2. Abra o app da Expedia ou digite você mesmo o endereço do site em vez de seguir links de e-mails, SMS ou mensagens de WhatsApp. O que é phishing? Como reconhecer e-mails, SMS e QR codes falsos mostra os sinais de alerta.
3. Troque sua senha se você a reutiliza em outros lugares, porque o grupo alega ter “tokens semelhantes a senhas” ^[4]; uma senha única limita o dano.
4. Ative a verificação em duas etapas onde suas contas de viagem a oferecerem; Autenticação em dois fatores explicada: qual método de 2FA é o mais seguro? explica quais métodos são mais fortes.
5. Verifique se o seu e-mail aparece em vazamentos conhecidos; o Cyber Daily usou o Have I Been Pwned para comparar os e-mails vazados ^[5]. Meus dados vazaram? Como verificar e o que fazer após um vazamento de dados explica o que fazer em seguida.

O phishing no setor de viagens após vazamentos não é hipotético. Depois que o Booking.com divulgou um vazamento de dados de reservas de clientes em abril de 2026, clientes relataram e-mails, ligações e mensagens de WhatsApp de phishing que citavam suas reservas ^[4].

O que as empresas que usam fornecedores de dados na nuvem devem verificar?

Os administradores devem procurar usos inesperados de funções por contas de fornecedores e remover relações de confiança de que não precisam mais ^[2][3].

• Revise os logs do AWS CloudTrail a partir de 1 de outubro em busca de acessos suspeitos da conta AWS da Qubole e investigue qualquer acesso posterior a segredos e ao S3 ^[2].
• Troque as credenciais que possam ter sido expostas e revogue as sessões ativas de funções ^[2].
• Remova integrações sem uso e restrinja as permissões, as identidades confiáveis e as redes de origem permitidas das funções restantes ^[2].
• Procure nomes de sessão de função que comecem com “quiam-”, que a Wiz viu o atacante usar de forma consistente, como quiam-enum ^[3].

A orientação da própria AWS é revisar regularmente as funções IAM entre contas, remover o acesso de integrações que não estão mais em uso, conceder permissões de privilégio mínimo e adicionar condições, como restrições de IP de origem, às políticas de confiança das funções ^[2]. A Sentra observou o atacante coletando segredos a uma taxa de 100 senhas e chaves em sete minutos, por isso a detecção rápida importa ^[2].

Quem é o grupo de extorsão n0n?

O n0n é um agente de extorsão relativamente novo que surgiu em setembro de 2026 e alegou 204 vítimas só em outubro, segundo o Cyber Daily ^[5]. Ele havia listado mais de 100 outras vítimas em novembro até agora (em 12 de novembro), muitas identificadas apenas por número em seu site de vazamentos ^[5].

A empresa de segurança SOCRadar, citada pelo Cyber Daily, disse ter encontrado um servidor de preparação exposto ligado a um operador do n0n em setembro de 2026, que revelava ferramentas, infraestrutura de extorsão e um ambiente de agente de programação com IA sustentado por mais de US$ 7.000 em uso pago de modelos de IA ^[5]. O que são agentes de IA? Como funcionam, o que podem fazer e onde falham explica como esses agentes funcionam. A SOCRadar disse que o n0n depende de credenciais comprometidas, e não de vulnerabilidades conhecidas, e que não encontrou payloads de exploits nem referências a CVE; os pontos de entrada documentados incluem credential stuffing contra portais de VPN, senhas fracas de acesso remoto e chaves AWS expostas ^[5].

Alguns analistas de inteligência de ameaças duvidavam das alegações do grupo, segundo o Cyber Daily, mas muitos agora o veem como uma ameaça emergente séria, mesmo que não seja uma operação tradicional de ransomware ^[5].

O que acontece a seguir?

As principais perguntas em aberto são qual fornecedor foi comprometido, quais dados foram de fato expostos e se a Expedia notificará os clientes afetados ^[1]. Até agora, a Expedia não disse que dados de clientes estiveram envolvidos ^[1].

Fique atento a três pontos: um aviso formal da Expedia a clientes ou reguladores; as conclusões de seus investigadores externos; e se pesquisadores de segurança ligarão o incidente da Expedia à campanha da Qubole ^[1][3]. Até lá, as grandes contagens de registros que circulam na internet devem ser tratadas como alegações dos atacantes ^[4][5].