Expedia Group confirmó que atacantes accedieron a sus sistemas a través de un proveedor externo de plataformas de datos que fue vulnerado. La empresa no precisó qué información quedó expuesta. Un grupo extorsivo llamado n0n asegura haber robado cientos de millones de registros de clientes y amenaza con publicarlos.
La confirmación llegó el jueves 12 de noviembre, en una declaración enviada al medio especializado en turismo Skift. "Estamos al tanto de un ataque a la cadena de suministro", dijo la compañía, en el que los atacantes "comprometieron a un proveedor externo de plataformas de datos y usaron su acceso de confianza para llegar a sistemas de varias empresas", incluida Expedia Group.
Expedia agregó que contuvo el problema apenas lo detectó, que investiga con expertos externos en seguridad y que sus plataformas "siguen siendo seguras" para viajeros y socios. No nombró al proveedor, no dijo si los clientes serán notificados y no se refirió a las cifras que difundió el grupo.
Según el sitio especializado Cybernews, el grupo n0n, de reciente aparición, afirma tener más de 830 millones de filas de datos de programas de fidelidad, 58 millones de perfiles de viajeros y 333 millones de registros de cuentas que combinan correos electrónicos con códigos similares a contraseñas. También dice haber robado más de 221 GB de archivos de reservas.
El sitio BreachNews añade que el grupo asegura poseer más de 1 TB de datos, que incluyen registros de reservas y pagos de Vrbo, y credenciales de la plataforma de datos y del código fuente de Expedia. Ninguna de esas afirmaciones fue verificada de forma independiente.
Una fila de datos no equivale a una persona: un mismo cliente puede aparecer en muchas filas, de modo que las cifras no indican cuántos usuarios resultaron afectados. BreachNews informó que n0n incluyó a Expedia en su sitio de filtraciones a comienzos de noviembre y luego la marcó como víctima que no pagó. No figura ningún monto de rescate.
Expedia Group controla marcas como Hotels.com, Vrbo, Travelocity, Orbitz, Hotwire y Trivago, según Cybernews, que cifra sus ingresos en casi USD 5.000 millones. La empresa tampoco confirmó que el incidente sea el mismo que describe n0n ni lo atribuyó a ese grupo.
La descripción de Expedia coincide con una campaña que las firmas de seguridad Wiz y Sentra detallaron el 9 de noviembre. Según BreachNews, entre el 14 y el 26 de octubre un atacante usó accesos ligados a Qubole, una plataforma de datos en la nube, para entrar en los entornos de sus clientes y copiar información.
Skift señala que Qubole fue proveedor de Expedia en el pasado. Sentra halló que los permisos que las empresas le habían dado a Qubole seguían activos mucho después de dejar de usarla, y que podían leer casi todos los datos que buscó el atacante.
Sin embargo, Expedia no mencionó a Qubole, y ni Wiz ni Sentra incluyeron a Expedia entre las organizaciones afectadas. Según BreachNews, Qubole y su propietaria, Idera, no habían emitido ninguna declaración pública al momento de su publicación.
Los investigadores de Cybernews advirtieron que, si lo que dice el grupo es cierto, los datos de contacto combinados con detalles de reservas permitirían a estafadores redactar mensajes muy convincentes dirigidos a viajeros concretos.
Cybernews recordó que ya hubo casos parecidos: tras una filtración de Booking.com divulgada en abril de 2026, los clientes denunciaron correos, llamadas y mensajes de WhatsApp que mencionaban sus reservas. Expedia no informó que haya detectado ese tipo de estafas con sus propios clientes, no precisó qué datos fueron alcanzados ni cuántas personas están afectadas, y la investigación con expertos externos sigue en curso.
