简而言之
截至2026年11月13日，Expedia已证实发生数据泄露：攻击者通过一家被入侵的第三方数据平台供应商进入其系统，但Expedia尚未说明哪些数据遭到暴露 [1]。勒索组织n0n声称掌握数亿条客户记录，该说法尚未得到证实 [4][5]。
要点
本页内容 12 个部分
Expedia被黑了吗？
是的：2026年11月12日，Expedia Group证实，攻击者通过一家被入侵的第三方数据平台供应商进入了其系统，这是一起供应链攻击，其他公司也受到波及 [1]。
在向旅游行业媒体Skift发表的声明中，Expedia称其“已获悉安全研究人员报告的一起供应链攻击” [1]。Skift报道，Expedia描述称攻击者入侵了一家第三方数据平台供应商，并利用这一访问权限进入多家公司 [1]。Skift还报道，Expedia表示在得知问题后立即进行了遏制，正与外部安全专家一起调查，并称其平台对旅客和合作伙伴仍然安全 [1]。
Expedia没有说的内容同样重要 [1]：
- 没有说出被入侵的供应商是谁。
- 没有说明是否有客户信息遭到暴露，以及暴露了哪些。
- 没有给出受影响的人数。
在此之前，多家网络安全网站报道了名为n0n的勒索组织声称窃取了Expedia数据，随后Expedia作出了证实 [1]。Expedia Group旗下品牌包括Expedia、Hotels.com、Vrbo、Travelocity、Hotwire、Orbitz和Trivago [5]。
n0n组织声称拿到了哪些数据？
n0n声称窃取了超过1太字节的Expedia数据，主要是客户记录，但其所列数字没有一项得到Expedia证实 [5][1]。据Cybernews报道，该组织威胁称，除非Expedia达成和解，否则将公开这些数据 [4]；Skift指出，其暗网页面上没有出现具体的赎金金额 [1]。
据Cybernews和Cyber Daily报道，该组织声称到手的数据包括 [4][5]：
- 分布在800个文件中的830,069,282行忠诚度计划数据，含电子邮件地址、会员编号、21种货币的积分余额，以及35个具名计划的预订价值。
- 约5800万行旅客档案数据，含电子邮件地址、账户日期和常驻机场。
- 约3.33亿条消费者账户记录，将账户ID和电子邮件地址与“类似密码的令牌”配对。
- 含订单号、行程ID和预订价值的预订事件文件，以及22-23百万条行程记录。
- 近500,000条住客沟通记录。
行数不等于人数：同一个人可能出现在多行和多个文件中。该组织还声称获得了源代码和生产环境云系统的访问权限 [4]。
Expedia的数据已经泄露了吗？
Cyber Daily于2026年11月12日报道，n0n已在暗网上公布了所称数据集的一部分 [5]。这份压缩包含有11个文件夹，列出与旅行数据相关联的数十万个电子邮件地址，包括登录信息、酒店住宿、通信往来，以及旅客用户ID和积分总额等忠诚度信息 [5]。
有两点需要谨慎看待 [5]：
- 据Have I Been Pwned显示，其中一些电子邮件地址曾出现在更早的泄露事件中，但也有许多没有出现过。
- 若干文件中的日期范围表明，这些数据可能是历史数据，而非当前数据。
Cyber Daily称，Expedia拒绝就黑客的具体说法置评 [5]。Cyber Daily引述n0n在11月3日发布的泄露帖，作为其首次声明 [5]。在Expedia或独立调查人员公布调查结果之前，任何泄露的规模和时效性都无法证实。
Expedia供应链攻击是如何实施的？
Expedia只表示，一家第三方数据平台供应商遭到入侵，其受信任的访问权限被滥用 [1]。安全研究人员另行记录了一场涉及云数据平台Qubole的攻击活动；Skift报道称，研究人员并未公开点名Expedia为受影响的客户 [1]。
云安全公司Wiz与Sentra和Mandiant合作报告称，2026年10月14日至26日期间，攻击者使用与大数据平台Qubole相关联的某个AWS账户的IAM凭证，来承担客户为信任Qubole而创建的角色 [3]。进入之后，攻击者列出资源，从AWS Secrets Manager、SSM Parameter Store和Lambda设置中收集密钥，用TruffleHog工具测试窃取的密钥，并从S3存储桶下载数据 [3][2]。
Wiz称，所用的角色大多处于闲置状态：信任策略仍然有效，因此请求得以成功 [3]。Sentra发现，Qubole的前客户从未撤销他们授予的访问权限，并确认受害者有数十家，仅一家客户就有数百万个文件被取走 [1][2]。Qubole曾是Expedia的供应商，但Expedia尚未确认此次泄露是否与之有关 [1]。
AWS对BleepingComputer表示，其服务“并未因此问题而被入侵，并且按设计运行”；攻击者使用的是与某第三方供应商相关的凭证 [2]。
Expedia客户现在该怎么做？
客户最可能面临的风险是针对性的钓鱼攻击：安全研究人员警告，诈骗者可能利用预订详情发送以假乱真的消息 [4]。以下步骤基于目前已知的情况：
- 对意料之外的预订消息保持警惕，尤其是提到真实行程、积分余额或忠诚度等级，并要求你付款、“验证”银行卡或通过链接登录的消息 [4]。
- 自己打开Expedia应用或手动输入网站地址，不要点击邮件、短信或WhatsApp消息里的链接。什么是钓鱼攻击？如何识别虚假邮件、短信和二维码介绍了各种警示信号。
- 如果你在其他地方重复使用密码，请更改密码，因为该组织声称持有“类似密码的令牌” [4]；使用唯一的密码可以限制损失。
- 启用两步验证，只要你的旅行账户提供该功能；双重身份验证详解：哪种2FA方式最安全？解释了哪些方式最可靠。
- 查一查你的电子邮件是否出现在已知的泄露事件中；Cyber Daily就是用Have I Been Pwned来比对泄露的电子邮件的 [5]。我的数据泄露了吗？如何查询，以及数据泄露后该怎么做讲解了后续该怎么办。
数据泄露后的旅行钓鱼并非空穴来风。2026年4月Booking.com披露客户预订数据泄露后，客户反映收到了提及其预订内容的钓鱼邮件、电话和WhatsApp消息 [4]。
使用云数据供应商的企业应该检查什么？
管理员应检查供应商账户是否有异常的角色使用，并移除不再需要的信任关系 [2][3]。
- 查看10月1日起的AWS CloudTrail日志，找出来自Qubole的AWS账户的可疑访问，然后调查之后的任何密钥和S3访问 [2]。
- 轮换可能已暴露的凭证，并撤销仍然有效的角色会话 [2]。
- 移除未使用的集成，并限制其余角色的权限、受信任身份和允许的来源网络 [2]。
- 查找以“quiam-”开头的角色会话名称，Wiz发现攻击者一贯使用这类名称，例如quiam-enum [3]。
AWS自己的建议是定期检查跨账户IAM角色，移除不再使用的集成的访问权限，授予最小权限，并在角色信任策略中加入来源IP限制等条件 [2]。Sentra观察到攻击者收集密钥的速度是7分钟100个密码和密钥，因此快速检测很重要 [2]。
n0n勒索组织是什么来头？
据Cyber Daily报道，n0n是一个较新的勒索组织，于2026年9月出现，仅在10月就声称有204名受害者 [5]。截至11月12日，它在11月已列出另外100多名受害者，其中许多在其泄露网站上仅以编号显示 [5]。
据Cyber Daily引述，安全公司SOCRadar称，其在2026年9月发现了一台与n0n某操作者相关的暴露的暂存服务器，其中揭示了工具、勒索基础设施，以及一个AI编程智能体环境，背后是超过7,000美元的付费AI模型使用量 [5]。什么是AI智能体？工作原理、能力范围与失效之处解释了这类智能体的工作方式。SOCRadar称，n0n依赖被入侵的凭证，而非已知漏洞，且未发现任何漏洞利用载荷或CVE编号；已记录的入口包括针对VPN门户的撞库攻击、薄弱的远程访问密码以及暴露的AWS密钥 [5]。
Cyber Daily报道，一些威胁情报分析师曾对该组织的说法存疑，但现在许多人认为它是一个严重的新兴威胁，即便它并不是传统意义上的勒索软件团伙 [5]。
接下来会发生什么？
悬而未决的关键问题是：哪家供应商被入侵、究竟有哪些数据遭到暴露，以及Expedia是否会通知受影响的客户 [1]。到目前为止，Expedia并未表示涉及客户数据 [1]。
值得关注三件事：Expedia向客户或监管机构发出的正式通知；其外部调查人员的调查结果；以及安全研究人员是否会把Expedia事件与Qubole攻击活动联系起来 [1][3]。在此之前，网上流传的大量记录数字都应视为攻击者的说法 [4][5]。
| 项目 | 状态 | 来源 |
|---|---|---|
| 通过第三方数据平台供应商发动的攻击 | Expedia已证实 | Skift |
| 供应商名称 | 未披露 | Skift |
| 遭暴露的数据和受影响人数 | 未披露 | Skift |
| 8.3亿行忠诚度数据、5800万份档案 | n0n声称，未经证实 | Cybernews、Cyber Daily |
| 部分数据已发布在暗网 | Cyber Daily报道；可能是历史数据 | Cyber Daily |
| 与Qubole攻击活动的关联 | 未证实 | Skift、Wiz |
常见错误
常见问题
Expedia被黑了吗？
是的；Expedia于2026年11月12日证实，攻击者通过一家被入侵的第三方数据平台供应商进入了其系统 [1]。
Expedia的数据已经泄露了吗？
Cyber Daily报道，一部分数据集已发布在暗网；其中一些可能是历史数据 [5]。
Expedia客户现在该怎么做？
警惕引用真实预订的钓鱼消息，不点链接，使用唯一密码和2FA [4]。
使用云数据供应商的企业应该检查什么？
检查CloudTrail，轮换密钥，并移除未使用的供应商角色 [2]。
n0n勒索组织是什么来头？
一个自2026年9月起活跃、依赖被入侵凭证的组织 [5]。
接下来会发生什么？
Expedia的调查应会揭示供应商、数据以及相关通知 [1]。
术语表
来源
- Expedia Confirms Cyberattack Through Third-Party Vendor Skift · 2026-11-12
- Hackers exploit trusted AWS access to breach multiple cloud environments BleepingComputer · 2026-11-10
- Trusted by Default: Qubole Cross-Account Access Abused in the Wild Wiz · 2026-11-09
- Targeted travel scams may rise, as hackers eye Expedia's billion records Cybernews · 2026-10-09
- Exclusive: Cyber extortion group claims breach of Expedia, millions of customers allegedly exposed Cyber Daily · 2026-11-12
评论
热门评论