Утечка данных Expedia: взлом через поставщика подтверждён

Взломали ли Expedia?

Да: 12 ноября 2026 года Expedia Group подтвердила, что злоумышленники проникли в её системы через взломанного стороннего поставщика платформы данных - в ходе атаки на цепочку поставок, затронувшей и другие компании ^[1].

В заявлении отраслевому изданию о туризме Skift компания Expedia сообщила, что «знает об атаке на цепочку поставок, о которой сообщили исследователи безопасности» ^[1]. По данным Skift, Expedia описала это как компрометацию стороннего поставщика платформы данных, через доступ к которой злоумышленники добрались до нескольких компаний ^[1]. Skift сообщает, что Expedia также заявила: проблема была локализована сразу, как только о ней стало известно, компания проводит расследование с привлечением внешних специалистов по безопасности, а её платформы остаются безопасными для путешественников и партнёров ^[1].

Не менее важно то, о чём Expedia не сказала ^[1]:

• Она не назвала взломанного поставщика.
• Она не сообщила, какая информация о клиентах, если она вообще была, оказалась раскрыта.
• Она не назвала число пострадавших.

Подтверждение последовало после того, как несколько сайтов о кибербезопасности сообщили о заявлениях вымогательской группы n0n, что она похитила данные Expedia ^[1]. Expedia Group управляет такими брендами, как Expedia, Hotels.com, Vrbo, Travelocity, Hotwire, Orbitz и Trivago ^[5].

Какие данные, по заявлению группы n0n, у неё есть?

n0n заявляет, что похитила более 1 терабайта данных Expedia, в основном записей клиентов, но ни одна из её цифр Expedia не подтверждена ^[5][1]. По данным Cybernews, группа пригрозила опубликовать данные, если Expedia не пойдёт на соглашение ^[4]; Skift отмечает, что конкретной суммы выкупа на её странице в даркнете не было ^[1].

Заявленная добыча группы, по сообщениям Cybernews и Cyber Daily, включает ^[4][5]:

• 830069282 строки данных программ лояльности в 800 файлах: адреса электронной почты, идентификаторы участников, баланс баллов в 21 валюте и стоимость бронирований для 35 названных программ.
• Около 58 миллионов строк профилей путешественников с адресами электронной почты, датами создания аккаунтов и домашними аэропортами.
• Около 333 миллионов записей потребительских аккаунтов, где сопоставлены идентификаторы аккаунтов, адреса электронной почты и «токены, похожие на пароли».
• Файлы событий бронирования с номерами заказов, идентификаторами маршрутов и стоимостью бронирований, а также 22-23 миллиона записей о поездках.
• Почти 500000 записей переписки с гостями.

Количество строк - не то же самое, что количество людей: один человек может встречаться во многих строках и файлах. Группа также заявила о доступе к исходному коду и производственным облачным системам ^[4].

Утекли ли данные Expedia в сеть?

Cyber Daily сообщило 12 ноября 2026 года, что n0n опубликовала часть предполагаемого набора данных в даркнете ^[5]. Сжатый архив содержит 11 папок со списками сотен тысяч адресов электронной почты, связанных с данными о путешествиях, включая данные для входа, проживание в отелях, переписку и сведения о программе лояльности, такие как идентификаторы пользователей-путешественников и суммы баллов ^[5].

Здесь нужны две оговорки ^[5]:

• По данным Have I Been Pwned, несколько адресов электронной почты уже встречались в прежних утечках, хотя многие - нет.
• Диапазоны дат в нескольких файлах говорят о том, что данные могут быть историческими, а не актуальными.

Cyber Daily сообщило, что Expedia отказалась комментировать конкретные заявления хакеров ^[5]. Первым заявлением Cyber Daily называет пост n0n об утечке от 3 ноября ^[5]. Пока Expedia или независимый следователь не опубликуют выводы, объём и свежесть любой утечки остаются непроверенными.

Как сработала атака на цепочку поставок Expedia?

Expedia заявила лишь то, что сторонний поставщик платформы данных был скомпрометирован, а его доверенным доступом злоупотребили ^[1]. Исследователи безопасности отдельно описали кампанию, связанную с Qubole, облачной платформой данных; Skift сообщает, что исследователи публично не называли Expedia среди пострадавших клиентов ^[1].

Компания облачной безопасности Wiz совместно с Sentra и Mandiant сообщила, что с 14 по 26 октября 2026 года злоумышленник использовал учётные данные IAM из аккаунта AWS, связанного с Qubole, платформой для больших данных, чтобы принимать роли, которые клиенты создали для доверия к Qubole ^[3]. Проникнув внутрь, он перечислил ресурсы, собрал секреты из AWS Secrets Manager, SSM Parameter Store и настроек Lambda, проверил украденные ключи инструментом TruffleHog и скачал данные из хранилищ S3 ^[3][2].

Wiz отметила, что большинство использованных ролей иначе не использовались: политики доверия сохранялись, поэтому запросы выполнялись успешно ^[3]. Sentra обнаружила, что бывшие клиенты Qubole так и не отозвали предоставленный доступ, и подтвердила десятки жертв, причём только у одного клиента были похищены миллионы файлов ^[1][2]. Qubole когда-то была поставщиком Expedia, но Expedia не подтвердила, связан ли её инцидент с этой атакой ^[1].

В AWS сообщили BleepingComputer, что их сервисы «не были скомпрометированы этой проблемой и работали как задумано»; злоумышленник использовал учётные данные, связанные со сторонним поставщиком ^[2].

Что делать клиентам Expedia сейчас?

Наиболее вероятный риск для клиентов - целевой фишинг: исследователи безопасности предупреждают, что мошенники могут использовать данные о бронированиях для убедительных сообщений ^[4]. Вот шаги, которые следуют из того, что известно на данный момент:

1. Относитесь с подозрением к неожиданным сообщениям о бронировании, особенно к тем, где упоминаются реальные поездки, баланс баллов или уровни лояльности и просят оплатить, «подтвердить» карту или войти по ссылке ^[4].
2. Откройте приложение Expedia или введите адрес сайта сами, вместо того чтобы переходить по ссылкам в письмах, SMS или сообщениях WhatsApp. Признаки обмана разобраны в материале What Is Phishing? How to Recognise Fake Emails, Texts and QR Codes.
3. Смените пароль, если используете его где-то ещё, поскольку группа заявляет, что у неё есть «токены, похожие на пароли» ^[4]; уникальный пароль ограничивает ущерб.
4. Включите двухэтапную проверку, если она есть в ваших туристических аккаунтах; какие способы надёжнее всего, объясняет материал Two-Factor Authentication Explained: Which 2FA Method Is Safest?.
5. Проверьте, нет ли вашего адреса электронной почты в известных утечках; Cyber Daily сравнивало опубликованные адреса через Have I Been Pwned ^[5]. О том, что делать дальше, рассказывает материал Was My Data Leaked? How to Check and What to Do After a Data Breach.

Фишинг в сфере путешествий после утечек - не гипотеза. После того как Booking.com раскрыла утечку данных о бронированиях клиентов в апреле 2026 года, клиенты сообщали о фишинговых письмах, звонках и сообщениях в WhatsApp со ссылками на их бронирования ^[4].

Что проверить компаниям, которые пользуются облачными поставщиками данных?

Администраторам стоит искать неожиданное использование ролей аккаунтами поставщиков и удалять отношения доверия, которые больше не нужны ^[2][3].

• Просмотрите журналы AWS CloudTrail начиная с 1 октября на предмет подозрительного доступа из аккаунта AWS Qubole, затем изучите любой последующий доступ к секретам и S3 ^[2].
• Смените учётные данные, которые могли быть раскрыты, и отзовите активные сессии ролей ^[2].
• Удалите неиспользуемые интеграции и ограничьте разрешения оставшихся ролей, доверенные идентификаторы и допустимые исходные сети ^[2].
• Ищите имена сессий ролей, начинающиеся с «quiam-», которые Wiz последовательно видела у злоумышленника, например quiam-enum ^[3].

Собственная рекомендация AWS - регулярно пересматривать межаккаунтные роли IAM, убирать доступ для интеграций, которые больше не используются, выдавать минимально необходимые права и добавлять в политики доверия ролей условия, например ограничения по исходному IP-адресу ^[2]. Sentra наблюдала, как злоумышленник собирал секреты со скоростью 100 паролей и ключей за семь минут, поэтому быстрое обнаружение имеет значение ^[2].

Кто такая вымогательская группа n0n?

n0n - относительно новый вымогательский игрок, появившийся в сентябре 2026 года и заявивший о 204 жертвах только в октябре, сообщает Cyber Daily ^[5]. В ноябре (по состоянию на 12 ноября) она внесла в список ещё более 100 жертв, многие из которых указаны на её сайте утечек лишь номером ^[5].

Охранная компания SOCRadar, которую цитирует Cyber Daily, сообщила, что в сентябре 2026 года обнаружила открытый промежуточный сервер, связанный с оператором n0n; на нём были инструменты, инфраструктура вымогательства и среда ИИ-агента для программирования, оплаченная использованием ИИ-моделей более чем на 7000 долларов США ^[5]. О том, как работают такие агенты, объясняет материал What Are AI Agents? How They Work, What They Can Do and Where They Fail. SOCRadar заявила, что n0n опирается на скомпрометированные учётные данные, а не на известные уязвимости, и что она не нашла ни полезных нагрузок эксплойтов, ни ссылок на CVE; задокументированные точки входа включают перебор учётных данных на порталах VPN, слабые пароли удалённого доступа и открытые ключи AWS ^[5].

Некоторые аналитики киберразведки сомневались в заявлениях группы, сообщает Cyber Daily, но теперь многие считают её серьёзной растущей угрозой, даже если это не классическая операция с программами-вымогателями ^[5].

Что будет дальше?

Ключевые открытые вопросы - какой поставщик был скомпрометирован, какие данные реально раскрыты и уведомит ли Expedia пострадавших клиентов ^[1]. Пока Expedia не заявляла, что затронуты данные клиентов ^[1].

Стоит следить за тремя вещами: официальным уведомлением Expedia клиентам или регуляторам; выводами её внешних следователей; и тем, свяжут ли исследователи безопасности инцидент Expedia с кампанией Qubole ^[1][3]. До тех пор большие числа записей, которые ходят по сети, следует считать заявлениями атакующих ^[4][5].