ATTACCHI · COMPROMISSIONE DI UN FORNITORE DI SERVIZI O SAAS
Expedia, ottobre 2026: dal fornitore di dati a un miliardo di record rivendicati
Il 12 novembre 2026 Expedia Group ha confermato un attacco alla catena di fornitura: gli attaccanti hanno violato un fornitore esterno di piattaforme dati, non nominato, e lo hanno usato per entrare. I ricercatori di Wiz e Sentra collegano un attacco di ottobre a Qubole, un ex fornitore di Expedia. Il gruppo n0n sostiene di avere dati su quasi un miliardo di viaggiatori; Expedia non ha confermato le cifre.
- Vittima
- Expedia Group e i suoi clienti
- Settore
- Viaggi online
- Paese
- Stati Uniti, con clienti in tutto il mondo
- Data
- ottobre 2026
- Categoria
- Compromissione di un fornitore di servizi o SaaS
- Causa
- Accesso tramite fornitore o terza parte
- Attore
- Criminale (rivendicato). n0n, per sua rivendicazione
- Scenari di danno
- Notifica e responsabilità privacy · Estorsione
Le cause in breve
- Fornitore di dati violato. Gli attaccanti hanno compromesso un fornitore esterno di piattaforme dati, secondo Expedia (Skift).
- Permessi mai revocati. Secondo Sentra, ex clienti di Qubole non avevano revocato i permessi dati al fornitore, e gli attaccanti li hanno usati per entrare nei loro ambienti cloud (Skift).
- Legame con Qubole non confermato. Expedia non ha confermato il collegamento con l'attacco a Qubole del 14-26 ottobre (Skift).
L'impatto
- n0n rivendica oltre 830 milioni di record di programmi fedeltà, 58 milioni di profili di viaggiatori e oltre 333 milioni di record di account, dati non verificati (Security Affairs).
- Minaccia di pubblicare i dati senza un accordo; importo non indicato (Skift).
- Problema contenuto e piattaforme sicure per viaggiatori e partner, secondo Expedia; dati coinvolti non ancora comunicati (Skift).
Cosa avrebbe risposto una polizza cyber
Scenario indicativo su una polizza cyber standalone di mercato. Le condizioni reali dipendono dal contratto: limiti, franchigie, periodo di attesa ed esclusioni.
- Gestione dell'incidente (forensic, legale, comunicazione)RispondeIndagine con esperti esterni, consulenza legale e notifiche rientrano nella risposta all'incidente.
- Ripristino di dati e sistemiRispondeLa revoca degli accessi del fornitore e il controllo degli ambienti cloud rientrano nel ripristino.
- Business interruption propriaNon pertinenteExpedia dice che le piattaforme sono rimaste sicure e in funzione.
- Business interruption dipendente (fornitore)Non pertinenteIl fornitore non è fermo: è un accesso abusivo tramite i suoi permessi.
- EstorsioneDipende dal wordingLa richiesta è rivolta a Expedia, ma senza importo noto: la garanzia risponde solo per un pagamento consentito dall'assicuratore.
- Notifica e responsabilità privacyRispondeRisponde per i dati di clienti effettivamente sottratti, ancora da accertare.
- Responsabilità verso terzi e sanzioni, dove assicurabiliDipende dal wordingCon numeri di questa scala, le azioni collettive possono superare i massimali di una polizza.
- Frode e social engineeringNon pertinenteNon risulta un trasferimento fraudolento di denaro.
Esclusioni e limiti da controllare
- Limiti di polizza. Un miliardo di record rivendicati supera qualsiasi massimale di mercato, se confermati.
- Fornitore dismesso. Un accesso lasciato aperto a un ex fornitore può pesare sulla valutazione delle misure dichiarate.
- Sanzioni. Le sanzioni dei garanti sono assicurabili solo dove la legge lo consente.
La lettura per chi assume il rischio
Impatto per gli assicuratoriAlto
Potenzialmente una delle maggiori fughe di dati di viaggiatori, ancora da verificare.
Segnale di cumulo per il portafoglio.
Cumulo sui clienti di Qubole: lo stesso fornitore ha dato accesso a più aziende.