Expedia hat einen Einbruch über einen Drittanbieter einer Datenplattform eingeräumt, was bei Kontoinhabern in mehreren seiner Reisemarken Besorgnis auslöst. Security Affairs berichtete am 14. November 2026, dass Expedia den Einbruch am Donnerstag gegenüber Skift bestätigt hatte, während die Erpressergruppe n0n umfangreichen Datendiebstahl behauptet, dessen Umfang das Unternehmen nicht bestätigt hat.
Expedia erklärt, seine Dienste blieben für Reisende und Geschäftspartner sicher, während die Untersuchung läuft. Die Kompromittierung des Drittanbieters ermöglichte den Angreifern außerdem den Zugriff auf andere Unternehmen. Für Kunden reicht der mögliche Umfang über Expedias Hauptwebsite hinaus: Security Affairs zufolge könnten Konten bei Expedia, Hotels.com und Vrbo einen gemeinsamen Datenpool nutzen.
Der Zugang über den Drittanbieter öffnete die Tür
Security Affairs nennt die Cybersicherheitsfirmen Wiz und Sentra, die den Einbruch auf einen gestohlenen Lieferantenschlüssel von Qubole zurückführen, einem Partner der Google Cloud Platform. Dieser Schlüssel, ein Berechtigungsnachweis, der Zugriff auf Dienste gewährt, soll es den Angreifern ermöglicht haben, über eine bereits vertrauenswürdige Verbindung in Expedias Big-Data-Plattform einzudringen.
Dabei handelt es sich um einen Lieferkettenangriff: Wer einen Zulieferer kompromittiert, verschafft sich einen Weg in Organisationen, die auf ihn angewiesen sind. N0n behauptet außerdem, über dieselbe Kompromittierung aktive Zugangsdaten erbeutet und damit Quellcode gestohlen zu haben.
Cybersicherheitsseiten hatten die Vorwürfe der Gruppe bereits früher in der Woche öffentlich gemacht, also vor Expedias Bestätigung. Expedia erklärt, das Unternehmen habe den Einbruch nach Bekanntwerden eingedämmt und externe Cybersicherheitsspezialisten mit den Ermittlungen beauftragt.
Expedia, laut Security Affairs die weltweit zweitgrößte Online-Reiseagentur, meldete für 2025 einen Umsatz von 14,7 Milliarden US-Dollar. Zu den Marken gehören Hotels.com, Vrbo, Travelocity, Orbitz, Hotwire und Trivago.
Die mutmaßlichen Daten erstrecken sich auf Konten, Treueprogramme und Buchungen
Security Affairs beschreibt n0n als neu gegründete russische Erpressergruppe, die fast eine Milliarde Datensätze von Expedia-Reisenden beansprucht. Ihre detaillierten Angaben umfassen mehrere Datensätze. Die genannten Datensatzzahlen sollten nicht als bestätigte Zahl betroffener Personen gelesen werden.
Die größte beanspruchte Sammlung umfasst über 830 Millionen Datensätze aus 35 Treueprogrammen mit E-Mail-Adressen, Mitgliedskennungen und Punktständen. Weitere 58 Millionen Reiseprofile sollen Heimatflughäfen und Kontoinformationen enthalten, während laut Berichten 333 Millionen Datensätze zu Verbraucherkonten passwortähnliche Token umfassen.
Die übrigen Behauptungen von n0n betreffen 72 Millionen Datensätze zur Zuordnung von Verbrauchern, fast 2,5 Millionen Datensätze zu Kreditkartenumsätzen, die mit gehashten E-Mail-Adressen verknüpft sind, sowie Unterkunftsdetails in 500.000 Gästedatensätzen. Hashing wandelt Informationen in eine codierte Darstellung um. Security Affairs beschreibt die angeblich gestohlenen passwortähnlichen Token ebenfalls als gehasht, warnt jedoch, Angreifer könnten sie dennoch knacken.
Treueinformationen könnten Phishing überzeugender machen, also täuschende Nachrichten, mit denen Empfänger hereingelegt werden sollen. Security Affairs warnt beispielsweise, ein Angreifer könne die E-Mail-Adresse eines Kunden mit dessen Punktestand kombinieren, um eine überzeugende Nachricht zu erstellen.
Nummerierte Opfer und ein Countdown
n0n trat Mitte September in Erscheinung. Security Affairs führt SOCRadar an, das die Operation als auf Datendiebstahl und Zahlungsforderungen ausgerichtet beschreibt, ohne Ransomware einzusetzen. Die Leak-Seite der Gruppe beansprucht seit September 224 Angriffe.
Die Erpressungstaktik verzögert die öffentliche Nennung der Opfer: Mutmaßliche Opfer erhalten nummerierte Einträge wie „Company 89“ oder „Company 90“ sowie einen Countdown mit der Bezeichnung „pending exposure“. Namen werden veröffentlicht, falls nicht gezahlt wird.
Der Lösegeldverhandler Alex Waintraub, der an dem Expedia-Fall nicht beteiligt ist, sagte gegenüber Forbes, die Behauptungen wirkten darauf ausgelegt, Opfer zur Zahlung zu drängen. Die anonymen Einträge und die verzögerte Namensnennung bezeichnete er als ungewöhnlich. Security Affairs vermutete, dass Expedias öffentliche Bestätigung den durch dieses Vorgehen entstandenen Druck verringern könnte.
Reisenden empfiehlt Security Affairs, die Passwörter ihrer Expedia-Konten von einem vertrauenswürdigen Gerät aus zu ändern und dieselben Passwörter nicht für andere Dienste zu verwenden.
