Expedia ha reconocido una brecha a través de un proveedor externo de plataformas de datos, lo que preocupa a los titulares de cuentas de sus marcas de viajes. Security Affairs informó el 14 de noviembre de 2026 que Expedia confirmó la intrusión a Skift el jueves, mientras que el grupo de extorsión n0n afirma un robo de datos extenso cuya magnitud la empresa no ha confirmado.
Expedia afirma que sus servicios siguen siendo seguros para los viajeros y los socios comerciales mientras continúa la investigación. El compromiso del proveedor también permitió a los atacantes llegar a otras empresas. Para los clientes, el alcance potencial va más allá del sitio web principal de Expedia: según Security Affairs, las cuentas de Expedia, Hotels.com y Vrbo podrían compartir un mismo conjunto de datos.
El acceso del proveedor abrió la puerta
Security Affairs cita a las empresas de ciberseguridad Wiz y Sentra, que rastrean la intrusión hasta una clave de proveedor robada de Qubole, socio de Google Cloud Platform. Esa clave, una credencial que otorga acceso a servicios, habría permitido a los atacantes entrar en la plataforma de big data de Expedia a través de una conexión ya considerada de confianza.
Esto describe un ataque a la cadena de suministro: comprometer a un proveedor ofrece una vía de entrada a las organizaciones que dependen de él. n0n también alega que obtuvo credenciales activas mediante el mismo compromiso y que las usó para robar código fuente.
Sitios de ciberseguridad habían difundido las denuncias del grupo a comienzos de semana, antes del reconocimiento de Expedia. Expedia afirma que actuó para contener la intrusión cuando tuvo conocimiento de ella y que contrató a especialistas externos en ciberseguridad para investigar.
Expedia, que Security Affairs describe como la segunda mayor agencia de viajes en línea del mundo, registró 14.700 millones de dólares en ingresos en 2025. Sus marcas incluyen Hotels.com, Vrbo, Travelocity, Orbitz, Hotwire y Trivago.
Los supuestos datos abarcan cuentas, fidelización y reservas
Security Affairs describe a n0n como un grupo de extorsión ruso de reciente creación que afirma tener casi mil millones de registros de viajeros de Expedia. Sus denuncias detalladas abarcan varios conjuntos de datos; esas cifras de registros no deben interpretarse como un número confirmado de personas afectadas.
La mayor colección reclamada comprende más de 830 millones de registros de 35 programas de fidelización, con direcciones de correo electrónico, identificadores de socio y saldos de puntos. Otros 58 millones de perfiles de viajeros contendrían, supuestamente, aeropuertos de origen y datos de cuenta, mientras que 333 millones de registros de cuentas de consumidores incluirían, según se informa, tokens similares a contraseñas.
Las demás afirmaciones de n0n incluyen 72 millones de registros de emparejamiento de consumidores, casi 2,5 millones de registros de gasto con tarjeta de crédito asociados a direcciones de correo electrónico con hash y datos de alojamiento en 500.000 registros de huéspedes. El hashing convierte la información en una representación codificada. Security Affairs también describe los supuestos tokens robados, similares a contraseñas, como hasheados, aunque advierte de que los atacantes podrían seguir siendo capaces de descifrarlos.
La información de fidelización podría hacer más convincente el phishing, es decir, los mensajes fraudulentos diseñados para engañar a sus destinatarios. Por ejemplo, Security Affairs advierte de que un atacante podría combinar la dirección de correo de un cliente con su saldo de puntos para crear un mensaje convincente.
Víctimas numeradas y cuenta atrás
n0n apareció a mediados de septiembre. Security Affairs cita a SOCRadar, que describe una operación centrada en robar datos y exigir un pago sin desplegar ransomware. El sitio de filtraciones del grupo afirma 224 ataques desde septiembre.
Su táctica de presión retrasa la identificación pública: las supuestas víctimas reciben fichas numeradas, como «Company 89» o «Company 90», junto con una cuenta atrás etiquetada como «pending exposure». Los nombres se revelan si no se realiza el pago.
El negociador de rescates Alex Waintraub, que no participa en el caso de Expedia, dijo a Forbes que las afirmaciones parecen destinadas a presionar a las víctimas para que paguen. Calificó como inusuales los listados anónimos y la demora en dar a conocer los nombres. Security Affairs sugirió que el reconocimiento público de Expedia podría reducir la presión que genera ese enfoque.
Para los viajeros, Security Affairs recomienda cambiar las contraseñas de las cuentas de Expedia desde un dispositivo de confianza y evitar reutilizarlas en otros servicios.
