Eine Erpressergruppe will 830 Millionen Zeilen aus Treueprogrammen von Expedia erbeutet haben, belegt ist das nicht.[3] Der Reisekonzern bestätigt nur den Weg des Angriffs: Die Täter kamen über einen kompromittierten Datenplattform-Anbieter herein. Wie so ein Einbruch über Lieferanten technisch läuft, hat zeitgleich ein Fall um den Anbieter Qubole gezeigt.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenInhalt 4 Abschnitte
Die Expedia Group hat am 12. November bestätigt, dass Angreifer über einen kompromittierten Datenplattform-Anbieter in ihre Systeme gelangt sind.[1] Stand ist Freitag, der 13. November: Den Namen des Dienstleisters und die betroffenen Daten nennt der Konzern nicht.
Das Wichtigste in Kürze
- Expedia bestätigt einen Lieferkettenangriff über einen Datenplattform-Anbieter.[1]
- Die Gruppe n0n nennt 830 Millionen Zeilen aus Treueprogrammen, eine Bestätigung fehlt.[3]
- Ob der Fall zur Qubole-Kampagne gehört, ist offen.[2]
- Gefährdet sind alle Firmen, die Dienstleistern dauerhaft Rollen in ihren Cloud-Konten eingeräumt haben.
Was ist bestätigt und was nur behauptet?
Gegenüber dem Branchenmedium Skift sagte Expedia: „Uns ist ein Lieferkettenangriff bekannt, den Sicherheitsforscher gemeldet haben.“[1] Laut Skift hat das Unternehmen das Problem eingedämmt, prüft mit externen Experten und hält seine Plattformen für sicher.[1]
Die Erpressergruppe n0n droht laut Skift, gestohlene Daten zu veröffentlichen, falls sich Expedia nicht mit ihr einigt.[1] Cybernews nennt 830 Millionen Zeilen aus Treueprogrammen.[3] Unabhängig bestätigt ist keine dieser Angaben.
Wie kommt ein Angreifer über einen Dienstleister herein?
Wie das gehen kann, beschrieb der Cloud-Sicherheitsanbieter Wiz am 9. November. Der Anbieter Qubole betreibt seine Datenplattform im AWS-Konto der Kunden. Dafür legen Kunden eine Rolle an, die dem Konto des Anbieters erlaubt, diese Rolle zu übernehmen.[2] Zwischen dem 14. und 26. Oktober nutzte ein Angreifer Zugangsdaten aus einem Qubole-Konto und übernahm solche Rollen bei Kunden.[2]
Meist waren die Rollen sonst ungenutzt, die Vertrauensstellung aber noch aktiv. Der Angreifer las Zugangsgeheimnisse aus Secrets Manager und Lambda-Konfigurationen und lud in einigen Sitzungen ganze S3-Speicher herunter.[2] Ob Expedia dazugehört, ist offen, Wiz nennt den Konzern nicht. Nach einem Bericht von Risky Business bekannte sich ein Akteur namens n0n zu der Qubole-Kampagne.[2] Das ist derselbe Name wie bei Expedia, ein Beleg für denselben Vorfall ist es nicht.
Das Muster bleibt dasselbe: Nicht die Kunden wurden geknackt, sondern das Vertrauen, das sie einem Lieferanten auf Dauer eingeräumt hatten. Wie schnell Dienstleister zum Einfallstor werden, zeigten zuletzt der Einbruch bei Apify und der zweite Hackerangriff auf Fireworks AI.
Ein Lieferant mit Dauerzugang gehört zu Ihrer eigenen Angriffsfläche, auch wenn sein Name in Ihrem Netz nirgends steht.
Markus Seyfferth, Chefredakteur Dr. Web
Was sollten Unternehmen jetzt prüfen?
Für Betreiber in der EU ist ein Dienstleister mit Zugriff auf personenbezogene Daten ein Auftragsverarbeiter nach Artikel 28 DSGVO, die Verantwortung bleibt beim Auftraggeber. Eine Datenpanne beim Lieferanten kann eine Meldepflicht nach Artikel 33 auslösen, die Frist von 72 Stunden läuft ab dem Moment, in dem Sie davon erfahren.
Wiz rät, in jedem AWS-Konto alle Rollen aufzulisten, die ein fremdes Konto übernehmen darf. Ungenutzte gehören gelöscht.[2] Zusätzlich lässt sich der Zugriff auf die Adressbereiche des Anbieters beschränken. Laut Wiz hätte allein diese Bedingung jede beobachtete Übernahme verhindert.[2] Ein Blick in CloudTrail ab dem 1. Oktober zeigt, ob fremde Konten Rollen übernommen haben.[2]
Expedia-Kunden prüfen Buchungen am besten nur über die offizielle Website oder App und misstrauen Mails zu Erstattungen oder Punkten. Für jeden Dienst gehört ein eigenes Passwort in einen Passwortmanager. Weitere Grundlagen bündeln die Cybersecurity-Grundlagen.
Quellen
3 Quellen anzeigenQuellen ausblenden
- Skift (Adriana Lee)Expedia Confirms Cyberattack Through Third-Party Vendor
- WizTrusted by Default: Qubole Cross-Account Access Abused in the Wild (09.11.2026, aktualisiert)
- CybernewsTargeted travel scams may rise, as hackers eye Expedia’s billion records
Mehr Newshunger?
- Einbruch bei Apify: Unbefugte sahen Konto- und Rechnungsdaten
- Fireworks AI meldet den zweiten Hackerangriff binnen Wochen
- Oracle-Health-Datenleck: Angreifer erbeuteten Patientendaten von knapp 20 Millionen Menschen
- Forscher entriegeln aus der Ferne Autos zweier Hersteller
- Wohin mit den Passwörtern des ganzen Teams?
- Cybersicherheit für Solo-Selbstständige: US-Behörde NIST legt eigenen Leitfaden vor
