Expedia ha riconosciuto una violazione attraverso un fornitore terzo di piattaforme di dati, con preoccupazioni per i titolari di account di tutti i suoi marchi di viaggio. Security Affairs ha riportato il 14 novembre 2026 che Expedia ha confermato l'intrusione a Skift giovedì, mentre il gruppo di estorsione n0n sostiene un furto di dati di vaste proporzioni, la cui portata l'azienda non ha confermato.
Expedia afferma che i suoi servizi restano sicuri per viaggiatori e partner commerciali mentre l'indagine prosegue. La compromissione del fornitore ha inoltre permesso agli aggressori di raggiungere altre aziende. Per i clienti, la portata potenziale va oltre il sito principale di Expedia: secondo Security Affairs, gli account di Expedia, Hotels.com e Vrbo potrebbero condividere un unico bacino di dati.
L'accesso tramite il fornitore ha aperto la strada
Security Affairs cita le società di sicurezza informatica Wiz e Sentra, secondo cui l'intrusione risale a una chiave del fornitore Qubole, partner di Google Cloud Platform, sottratta illegittimamente. Quella chiave, una credenziale che concede l'accesso ai servizi, avrebbe permesso agli aggressori di entrare nella piattaforma big data di Expedia attraverso una connessione già considerata affidabile.
Si tratta di un attacco alla catena di fornitura: compromettere un fornitore apre una via d'accesso alle organizzazioni che ne dipendono. N0n sostiene inoltre di aver ottenuto credenziali attive con la stessa compromissione e di averle usate per rubare codice sorgente.
I siti specializzati in cybersicurezza avevano diffuso le accuse del gruppo già nel corso della settimana, prima del riconoscimento di Expedia. L'azienda afferma di aver agito per contenere l'intrusione non appena ne è venuta a conoscenza e di aver incaricato specialisti esterni di sicurezza informatica di indagare.
Expedia, che Security Affairs descrive come la seconda agenzia di viaggi online al mondo, ha registrato 14,7 miliardi di dollari di ricavi nel 2025. Tra i suoi marchi figurano Hotels.com, Vrbo, Travelocity, Orbitz, Hotwire e Trivago.
I presunti dati riguardano account, programmi fedeltà e prenotazioni
Security Affairs descrive n0n come un gruppo di estorsione russo di recente costituzione, che rivendica quasi un miliardo di record di viaggiatori Expedia. Le sue dichiarazioni dettagliate riguardano diversi insiemi di dati; quei conteggi di record non vanno letti come un numero confermato di persone coinvolte.
La raccolta più grande rivendicata comprende oltre 830 milioni di record provenienti da 35 programmi fedeltà, con indirizzi email, identificativi di iscrizione e saldi punti. Altri 58 milioni di profili di viaggiatori conterrebbero aeroporti di residenza e informazioni sull'account, mentre 333 milioni di record di account consumatore includerebbero token simili a password.
Le restanti rivendicazioni di n0n riguardano 72 milioni di record consumatore per l'abbinamento, quasi 2,5 milioni di record di spesa con carta di credito associati a indirizzi email sottoposti ad hashing e dettagli sull'alloggio in 500.000 record di ospiti. L'hashing trasforma le informazioni in una rappresentazione codificata. Security Affairs descrive inoltre i presunti token simili a password rubati come sottoposti ad hashing, avvertendo però che gli aggressori potrebbero comunque riuscire a decifrarli.
Le informazioni sui programmi fedeltà potrebbero rendere più convincenti i tentativi di phishing, cioè messaggi ingannevoli pensati per indurre in errore il destinatario. Ad esempio, Security Affairs avverte che un aggressore potrebbe combinare l'indirizzo email di un cliente con il suo saldo punti per creare un messaggio credibile.
Vittime numerate e conto alla rovescia
n0n è comparso a metà settembre. Security Affairs cita SOCRadar, secondo cui si tratterebbe di un'operazione incentrata sul furto di dati e sulla richiesta di pagamento senza ricorrere al ransomware. Il sito di pubblicazione del gruppo rivendica 224 attacchi da settembre.
La sua tattica di pressione ritarda l'identificazione pubblica: le presunte vittime compaiono in elenchi numerati, come «Company 89» o «Company 90», accompagnati da un conto alla rovescia etichettato come «in attesa di esposizione». I nomi vengono rivelati se il pagamento non viene effettuato.
Il negoziatore di riscatti Alex Waintraub, che non è coinvolto nel caso Expedia, ha detto a Forbes che le rivendicazioni sembrano mirate a spingere le vittime a pagare. Ha definito insolite le inserzioni anonime e il ritardo nel rivelare i nomi. Security Affairs ha suggerito che la conferma pubblica di Expedia potrebbe attenuare la pressione creata da questo approccio.
Per i viaggiatori, Security Affairs raccomanda di cambiare le password degli account Expedia da un dispositivo di fiducia ed evitare di riutilizzarle su altri servizi.
