Expedia confirma ataque a su cadena de suministro: extorsionadores dicen tener 333 millones de cuentas
Expedia Group confirmó el 12 de noviembre de 2026 que sufrió un ataque a la cadena de suministro: los atacantes comprometieron a un proveedor externo de plataformas de datos y usaron su acceso de confianza para llegar a sistemas de varias empresas, entre ellas la del gigante de viajes. Mientras tanto, un grupo extorsivo llamado n0n afirma tener cientos de millones de registros de clientes y amenaza con publicarlos.
Qué confirmó Expedia y qué no
La compañía declaró a Skift que contuvo el problema apenas lo detectó, que investiga con expertos externos y que sus plataformas «siguen siendo seguras» para viajeros y socios. Lo que no dijo es igual de relevante:
- No nombró al proveedor comprometido.
- No precisó qué información quedó expuesta ni de cuántas personas.
- No aclaró si notificará a los clientes ni respondió a las cifras difundidas por los atacantes.
Lo que asegura el grupo n0n
Según Cybernews, n0n, un grupo de aparición reciente que se centra en robo de datos y extorsión sin cifrar archivos, afirma poseer:
- 333,3 millones de registros de cuentas que combinan correos y identificadores con códigos similares a contraseñas.
- 830 millones de filas de programas de fidelidad y 58 millones de perfiles de viajeros.
- Más de 221 GB de archivos de reservas y, según otros sitios, más de 1 TB con datos de Vrbo, credenciales y código fuente.
Ninguna de estas cifras ha sido verificada de forma independiente. Hay que leerlas como afirmaciones de un grupo criminal que busca presionar una negociación.
El origen probable: Qubole y accesos que nadie revocó
La descripción de Expedia coincide con una campaña que las firmas Wiz y Sentra detallaron el 9 de noviembre. Entre el 14 y el 26 de octubre, un atacante usó credenciales ligadas a Qubole, una plataforma de datos en la nube, para entrar en los entornos de sus clientes y copiar información, en algunos casos carpetas completas en una sola sesión. Sentra contabiliza más de una docena de organizaciones afectadas.
La clave no fue un exploit sofisticado, sino algo más cotidiano: muchas empresas habían concedido a Qubole acceso permanente a sus sistemas y, al dejar de usarlo, esos permisos siguieron activos. Según Sentra, esos roles podían leer casi todos los datos que buscó el atacante. Ojo: ni Expedia ha confirmado que el proveedor fuera Qubole, ni las firmas investigadoras nombran a Expedia entre las víctimas; la coincidencia es una inferencia de la prensa.
Qué significa para los usuarios
Si se confirma que hay credenciales o correos expuestos, el riesgo inmediato es el phishing dirigido: mensajes que simulan ser de Expedia, de una reserva o de un reembolso. Recomendaciones prudentes mientras no haya detalles oficiales:
- Cambia la contraseña de tu cuenta de Expedia y de cualquier servicio donde la reutilices.
- Activa la verificación en dos pasos.
- Desconfía de correos o llamadas sobre reservas que no hiciste; entra siempre desde la app o el sitio oficial, no desde enlaces.
- Revisa si tu correo aparece en filtraciones con servicios como Have I Been Pwned.
Lección para las empresas
El caso refuerza una práctica básica que se descuida: inventariar y revocar accesos de terceros cuando termina la relación comercial. Roles de nube con permisos amplios y sin uso son una puerta abierta esperando a que alguien la encuentre. Auditar integraciones, aplicar mínimo privilegio y monitorear el uso de credenciales de proveedores reduce justo este tipo de riesgo.