Expedia Veri İhlali: Tedarik Zinciri Saldırısı Doğrulandı

Expedia hacklendi mi?

Evet: Expedia Group, 12 Kasım 2026'da saldırganların sistemlerine ele geçirilmiş bir üçüncü taraf veri platformu sağlayıcısı üzerinden eriştiğini, bunun diğer şirketleri de etkileyen bir tedarik zinciri saldırısı olduğunu doğruladı ^[1].

Seyahat sektörü yayını Skift'e yaptığı açıklamada Expedia, "güvenlik araştırmacıları tarafından bildirilen bir tedarik zinciri saldırısından haberdar olduğunu" söyledi ^[1]. Skift'in aktardığına göre Expedia, saldırganların bir üçüncü taraf veri platformu sağlayıcısını ele geçirdiğini ve bu erişimle birden fazla şirkete ulaştığını anlattı ^[1]. Skift ayrıca Expedia'nın sorunu fark eder etmez kontrol altına aldığını, dış güvenlik uzmanlarıyla soruşturma yürüttüğünü ve platformlarının yolcular ile iş ortakları için güvenli kaldığını söylediğini bildiriyor ^[1].

Expedia'nın söylemedikleri de en az söylediği kadar önemli ^[1]:

• Ele geçirilen sağlayıcının adını açıklamadı.
• Varsa hangi müşteri bilgilerinin açığa çıktığını belirtmedi.
• Etkilenen kişi sayısını vermedi.

Doğrulama, çeşitli siber güvenlik sitelerinin n0n adlı bir fidye grubunun Expedia verilerini çaldığı yönündeki iddialarını haberleştirmesinin ardından geldi ^[1]. Expedia Group; Expedia, Hotels.com, Vrbo, Travelocity, Hotwire, Orbitz ve Trivago gibi markaları işletiyor ^[5].

n0n grubu hangi verilere sahip olduğunu iddia ediyor?

n0n, çoğu müşteri kaydı olmak üzere bir terabayttan fazla Expedia verisi çaldığını öne sürüyor, ancak rakamlarının hiçbiri Expedia tarafından doğrulanmadı ^[5][1]. Cybernews'e göre grup, Expedia bir anlaşmaya varmazsa verileri yayımlamakla tehdit etti ^[4]; Skift ise grubun dark web sayfasında belirli bir fidye miktarı yer almadığını belirtiyor ^[1].

Cybernews ve Cyber Daily'nin aktardığına göre grubun iddia ettiği ele geçirilen veriler şunları içeriyor ^[4][5]:

• 800 dosyada 830.069.282 satır sadakat programı verisi; e-posta adresleri, üye kimlikleri, 21 para biriminde puan bakiyeleri ve 35 adlandırılmış program için rezervasyon tutarları.
• E-posta adresleri, hesap tarihleri ve ana havalimanlarını içeren yaklaşık 58 milyon yolcu profili satırı.
• Hesap kimliklerini ve e-posta adreslerini "parolaya benzer belirteçlerle" eşleştiren yaklaşık 333 milyon tüketici hesap kaydı.
• Sipariş numaraları, seyahat planı kimlikleri ve rezervasyon tutarları içeren rezervasyon olay dosyaları ile 22-23 milyon seyahat kaydı.
• Yaklaşık 500.000 misafir iletişim kaydı.

Satır sayısı, kişi sayısıyla aynı şey değildir: bir kişi birçok satırda ve dosyada yer alabilir. Grup ayrıca kaynak koduna ve canlı bulut sistemlerine eriştiğini de öne sürdü ^[4].

Expedia verilerinden herhangi biri sızdırıldı mı?

Cyber Daily, 12 Kasım 2026'da n0n'un iddia edilen veri setinin bir bölümünü dark web'de yayımladığını bildirdi ^[5]. Sıkıştırılmış arşiv, seyahat verileriyle bağlantılı yüz binlerce e-posta adresini listeleyen 11 klasör içeriyor; bunların arasında oturum açma bilgileri, otel konaklamaları, yazışmalar ile yolcu kullanıcı kimlikleri ve puan toplamları gibi sadakat bilgileri yer alıyor ^[5].

İki uyarı geçerli ^[5]:

• Have I Been Pwned'a göre e-posta adreslerinin bir kısmı daha önceki ihlallerde de görülmüştü, ancak çoğu görülmemişti.
• Birçok dosyadaki tarih aralıkları, verilerin güncel değil geçmişe ait olabileceğini düşündürüyor.

Cyber Daily, Expedia'nın hacker'ların belirli iddiaları hakkında yorum yapmayı reddettiğini söyledi ^[5]. Cyber Daily, ilk iddia olarak n0n'un 3 Kasım tarihli bir sızıntı paylaşımına işaret ediyor ^[5]. Expedia ya da bağımsız bir araştırmacı bulgularını yayımlayana kadar, herhangi bir sızıntının boyutu ve güncelliği doğrulanmış değildir.

Expedia tedarik zinciri saldırısı nasıl işledi?

Expedia yalnızca bir üçüncü taraf veri platformu sağlayıcısının ele geçirildiğini ve güvenilen erişiminin kötüye kullanıldığını söyledi ^[1]. Güvenlik araştırmacıları ayrıca, bir bulut veri platformu olan Qubole'u kapsayan bir kampanyayı belgeledi; Skift'e göre araştırmacılar Expedia'yı etkilenen bir müşteri olarak kamuya açık biçimde anmadı ^[1].

Bulut güvenliği firması Wiz, Sentra ve Mandiant ile birlikte yürüttüğü çalışmada, 14-26 Ekim 2026 arasında bir saldırganın, büyük veri platformu Qubole ile ilişkili bir AWS hesabındaki IAM kimlik bilgilerini kullanarak müşterilerin Qubole'a güvenmek üzere oluşturduğu rolleri üstlendiğini bildirdi ^[3]. İçeri girdikten sonra saldırgan kaynakları listeledi, AWS Secrets Manager, SSM Parameter Store ve Lambda ayarlarından gizli bilgileri topladı, çalınan anahtarları TruffleHog aracıyla sınadı ve S3 depolama kovalarından veri indirdi ^[3][2].

Wiz, kullanılan rollerin çoğunun aslında atıl olduğunu söyledi: güven politikaları yerinde durduğu için istekler başarılı oldu ^[3]. Sentra, eski Qubole müşterilerinin verdikleri erişimi hiçbir zaman iptal etmediğini saptadı; düzinelerce mağduru doğruladı ve yalnızca bir müşteriden milyonlarca dosyanın alındığını belirtti ^[1][2]. Qubole bir dönem Expedia'nın tedarikçisiydi, ancak Expedia ihlalinin bununla ilgili olup olmadığını doğrulamadı ^[1].

AWS, BleepingComputer'a hizmetlerinin "bu sorundan etkilenmediğini ve tasarlandığı gibi çalıştığını" söyledi; saldırgan, bir üçüncü taraf sağlayıcıyla ilişkili kimlik bilgilerini kullandı ^[2].

Expedia müşterileri şimdi ne yapmalı?

Müşteriler için en olası risk hedefli oltalamadır: güvenlik araştırmacıları, dolandırıcıların rezervasyon bilgilerini kullanarak inandırıcı mesajlar gönderebileceği konusunda uyarıyor ^[4]. Bu adımlar şimdiye kadar bilinenlerden çıkıyor:

1. Beklemediğiniz rezervasyon mesajlarına kuşkuyla yaklaşın; özellikle gerçek seyahatlerinizi, puan bakiyelerinizi ya da sadakat kademelerinizi anıp sizden ödeme yapmanızı, kartınızı "doğrulamanızı" veya bir bağlantı üzerinden giriş yapmanızı isteyenlere ^[4].
2. Expedia uygulamasını açın ya da web sitesi adresini kendiniz yazın; e-postalardaki, kısa mesajlardaki veya WhatsApp mesajlarındaki bağlantılara tıklamayın. What Is Phishing? How to Recognise Fake Emails, Texts and QR Codes rehberi uyarı işaretlerini anlatıyor.
3. Başka yerlerde de kullanıyorsanız parolanızı değiştirin; çünkü grup "parolaya benzer belirteçlere" sahip olduğunu öne sürüyor ^[4]; benzersiz bir parola zararı sınırlar.
4. Seyahat hesaplarınız sunuyorsa iki adımlı doğrulamayı açın; Two-Factor Authentication Explained: Which 2FA Method Is Safest? rehberi hangi yöntemlerin en güçlü olduğunu açıklıyor.
5. E-postanızın bilinen ihlallerde yer alıp almadığını kontrol edin; Cyber Daily, sızdırılan e-postaları karşılaştırmak için Have I Been Pwned'ı kullandı ^[5]. Was My Data Leaked? How to Check and What to Do After a Data Breach rehberi sonraki adımları açıklıyor.

İhlallerin ardından seyahat oltalaması varsayımsal değil. Booking.com, Nisan 2026'da müşteri rezervasyon verilerinin ihlal edildiğini açıkladıktan sonra müşteriler, rezervasyonlarına atıf yapan oltalama e-postaları, aramaları ve WhatsApp mesajları aldıklarını bildirdi ^[4].

Bulut veri sağlayıcıları kullanan şirketler neleri kontrol etmeli?

Yöneticiler, sağlayıcı hesaplarının beklenmedik rol kullanımını aramalı ve artık ihtiyaç duymadıkları güven ilişkilerini kaldırmalı ^[2][3].

• 1 Ekim'den itibaren AWS CloudTrail günlüklerini Qubole'un AWS hesabından gelen şüpheli erişim için inceleyin, ardından sonraki gizli bilgi ve S3 erişimlerini araştırın ^[2].
• Açığa çıkmış olabilecek kimlik bilgilerini yenileyin ve etkin rol oturumlarını iptal edin ^[2].
• Kullanılmayan entegrasyonları kaldırın; kalan rollerin izinlerini, güvenilen kimliklerini ve izin verilen kaynak ağlarını kısıtlayın ^[2].
• Wiz'in saldırganın tutarlı biçimde kullandığını gördüğü, quiam-enum gibi "quiam-" ile başlayan rol oturum adlarını arayın ^[3].

AWS'nin kendi önerisi; hesaplar arası IAM rollerini düzenli olarak gözden geçirmek, artık kullanılmayan entegrasyonların erişimini kaldırmak, en az ayrıcalık ilkesiyle izin vermek ve rol güven politikalarına kaynak IP kısıtlaması gibi koşullar eklemektir ^[2]. Sentra, saldırganın gizli bilgileri yedi dakikada 100 parola ve anahtar hızıyla topladığını gözlemledi; bu nedenle hızlı tespit önemlidir ^[2].

n0n fidye grubu kimdir?

n0n, Cyber Daily'ye göre Eylül 2026'da ortaya çıkan ve yalnızca Ekim ayında 204 mağdur olduğunu öne süren nispeten yeni bir fidye aktörüdür ^[5]. Kasım ayında (12 Kasım itibarıyla) şimdiye kadar 100'den fazla mağduru daha listelemişti; bunların çoğu sızıntı sitesinde yalnızca bir numarayla yer alıyor ^[5].

Cyber Daily'nin alıntıladığı güvenlik firması SOCRadar, Eylül 2026'da bir n0n operatörüne bağlı, açıkta kalmış bir hazırlık sunucusu bulduğunu söyledi; sunucu araçları, fidye altyapısını ve 7.000 ABD dolarından fazla ücretli yapay zekâ modeli kullanımıyla desteklenen bir yapay zekâ kodlama ajanı ortamını ortaya çıkarıyordu ^[5]. What Are AI Agents? How They Work, What They Can Do and Where They Fail rehberi bu tür ajanların nasıl çalıştığını anlatıyor. SOCRadar, n0n'un bilinen güvenlik açıkları yerine ele geçirilmiş kimlik bilgilerine dayandığını, hiçbir istismar yükü ya da CVE referansı bulamadığını söyledi; belgelenen giriş noktaları arasında VPN portallarına karşı kimlik bilgisi doldurma (credential stuffing), zayıf uzaktan erişim parolaları ve açıkta kalmış AWS anahtarları yer alıyor ^[5].

Cyber Daily'ye göre bazı tehdit istihbaratı analistleri grubun iddialarından kuşku duyuyordu, ancak birçoğu artık grubu geleneksel bir fidye yazılımı operasyonu olmasa bile ciddi bir yükselen tehdit olarak görüyor ^[5].

Bundan sonra ne olacak?

Temel açık sorular şunlar: hangi sağlayıcı ele geçirildi, hangi veriler gerçekten açığa çıktı ve Expedia etkilenen müşterileri bilgilendirecek mi ^[1]. Expedia şimdiye kadar müşteri verilerinin işin içinde olduğunu söylemedi ^[1].

Üç şeyi izleyin: Expedia'dan müşterilere ya da düzenleyicilere yönelik resmî bir bildirim; dış soruşturmacılarının bulguları; ve güvenlik araştırmacılarının Expedia olayını Qubole kampanyasıyla ilişkilendirip ilişkilendirmeyeceği ^[1][3]. O zamana kadar çevrimiçi dolaşan yüksek kayıt sayıları saldırganların iddiaları olarak değerlendirilmelidir ^[4][5].