Expedia a reconnu une intrusion passée par un fournisseur tiers de plateforme de données, ce qui inquiète les titulaires de comptes de ses marques de voyage. Security Affairs a rapporté le 14 novembre 2026 qu'Expedia a confirmé l'intrusion à Skift jeudi, tandis que le groupe d'extorsion n0n affirme avoir dérobé un volume important de données, dont l'ampleur n'a pas été confirmée par l'entreprise.
Expedia affirme que ses services restent sûrs pour les voyageurs et les partenaires commerciaux, le temps que son enquête se poursuive. La compromission du fournisseur a également permis aux attaquants d'atteindre d'autres entreprises. Pour les clients, le périmètre potentiel dépasse le site principal d'Expedia : selon Security Affairs, les comptes Expedia, Hotels.com et Vrbo pourraient partager un même réservoir de données.
Un accès via le fournisseur a ouvert la porte
Security Affairs cite les sociétés de cybersécurité Wiz et Sentra, qui ont retracé l'intrusion jusqu'à une clé de fournisseur volée chez Qubole, partenaire de Google Cloud Platform. Cette clé, un identifiant donnant accès à des services, aurait permis aux attaquants d'entrer dans la plateforme big data d'Expedia par une connexion déjà jugée fiable.
Il s'agit d'une attaque de la chaîne d'approvisionnement : compromettre un fournisseur ouvre une voie vers les organisations qui en dépendent. n0n affirme également avoir obtenu, par la même compromission, des identifiants actifs et les avoir utilisés pour voler du code source.
Des sites spécialisés en cybersécurité avaient relayé les allégations du groupe plus tôt dans la semaine, avant la reconnaissance d'Expedia. Selon l'entreprise, elle a agi pour contenir l'intrusion dès qu'elle en a eu connaissance et a fait appel à des spécialistes externes en cybersécurité pour enquêter.
Décrite par Security Affairs comme la deuxième plus grande agence de voyages en ligne au monde, Expedia a enregistré un chiffre d'affaires de 14,7 milliards de dollars en 2025. Ses marques comprennent Hotels.com, Vrbo, Travelocity, Orbitz, Hotwire et Trivago.
Des données présumées couvrent comptes, fidélité et réservations
Security Affairs décrit n0n comme un groupe d'extorsion russe récemment créé, qui revendique près d'un milliard d'enregistrements de voyageurs d'Expedia. Ses allégations détaillées portent sur plusieurs jeux de données ; ces nombres d'enregistrements ne doivent pas être lus comme un nombre confirmé de personnes concernées.
La plus grande collection revendiquée comprend plus de 830 millions d'enregistrements issus de 35 programmes de fidélité, avec des adresses e-mail, des identifiants d'adhérents et des soldes de points. Selon les allégations, 58 millions de profils de voyageurs contiendraient les aéroports de résidence et des informations de compte, tandis que 333 millions d'enregistrements de comptes clients incluraient, selon les informations disponibles, des jetons de type mot de passe.
Les autres données revendiquées par n0n englobent 72 millions d'enregistrements de correspondance avec des consommateurs, près de 2,5 millions d'enregistrements de dépenses par carte de crédit associés à des adresses e-mail hachées, et des détails d'hébergement pour 500 000 fiches de voyageurs. Le hachage transforme une information en une représentation codée. Security Affairs décrit aussi les jetons présumés volés, semblables à des mots de passe, comme hachés, tout en avertissant que les attaquants pourraient encore réussir à les craquer.
Les informations de fidélité pourraient rendre le phishing, c'est-à-dire des messages trompeurs destinés à piéger leurs destinataires, plus convaincant. Par exemple, Security Affairs avertit qu'un attaquant pourrait associer l'adresse e-mail d'un client à son solde de points pour rédiger un message crédible.
Victimes numérotées et compte à rebours
n0n est apparu à la mi-septembre. Security Affairs cite SOCRadar, qui décrit une opération centrée sur le vol de données et l'exigence d'un paiement, sans déploiement de rançongiciel. Le site de fuites du groupe revendique 224 attaques depuis septembre.
Sa tactique de pression retarde l'identification publique : les victimes présumées reçoivent des fiches numérotées, par exemple « Company 89 » ou « Company 90 », accompagnées d'un compte à rebours intitulé « pending exposure ». Les noms sont révélés si le paiement n'est pas effectué.
Alex Waintraub, négociateur en cas de rançon qui n'est pas impliqué dans l'affaire Expedia, a déclaré à Forbes que ces revendications semblent destinées à pousser les victimes vers le paiement. Il a qualifié d'inhabituels les listings anonymes et le report de la divulgation des noms. Security Affairs suggère que la reconnaissance publique par Expedia pourrait réduire la pression créée par cette approche.
Pour les voyageurs, Security Affairs recommande de modifier les mots de passe de leurs comptes Expedia depuis un appareil de confiance, et de ne pas réutiliser ces mots de passe sur d'autres services.
